Статья онлайн-справки «Установка в ОС Linux»: [https://support.kaspersky.ru/cyber-trace/5.3/165522](https://support.kaspersky.ru/cyber-trace/5.3/165522)
Статья онлайн-справки «Установка в ОС Windows»: [https://support.kaspersky.ru/cyber-trace/5.3/165581](https://support.kaspersky.ru/cyber-trace/5.3/165581)
--- ### Настройка CyberTrace При первом входе в веб-интерфейс CyberTrace после установки появится окно мастера первоначальной настройки (Initial Setup Wizard), в котором: - На шаге мастера **Добро пожаловать в Kaspersky CyberTrace** отображается краткая информация о Kaspersky CyberTrace и о мастере первоначальной настройки. Выберите язык интерфейса и нажмите **Далее**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/IE1image312.png) - На шаге **Настройка прокси-сервера** укажите параметры прокси-сервера для Kaspersky CyberTrace. Шаг является опциональным. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image313.png) - На шаге мастера **Настройка лицензирования** выберите требуемый уровень лицензирования **Kaspersky CyberTrace: Community Edition** или **коммерческую лицензию.** В нашем примере используется коммерческий уровень лицензирования и указывается **Файл ключа**. После выбора этого варианта укажите предоставленный файл ключа для Kaspersky CyberTrace (<имя файла>.key). - На шаге 4 мастера **Настройка сервиса** отключите **Служебные оповещения** и укажите IP-адрес или имя хоста, используемые для подключения к веб-интерфейсу Kaspersky CyberTrace (IP-адрес или имя хоста того сервера, на котором установлен Kaspersky CyberTrace). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image314.png) - На шаге мастера **Настройка управления данными** необходимо выбрать и настроить SIEM-систему для интеграции с Kaspersky CyberTrace. От выбора SIEM-системы зависит формат конфигурационных файлов Kaspersky CyberTrace, поскольку эти файлы адаптируются под конкретную SIEM-систему. - В разделе **SIEM-система** выберите SIEM-систему для интеграции с CyberTrace**.** В нашем примере это будет **KUMA**. - В разделе **Входящие события** задайте параметры сокета, который Kaspersky CyberTrace должен прослушивать в ожидании входящих событий. В нашем примере это будет IP-адрес сервера CyberTrace и порт 9999. - Параметры раздела **Оповещения об обнаружении индикаторов компрометации** оставьте по умолчанию. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image315.png) - На шаге 6 мастера **Настройка сертификата** добавьте сертификат. Сертификат определяет набор потоков данных об угрозах «Лаборатории Касперского», которые можно использовать в Kaspersky CyberTrace. Выберите необходимый тип сертификата: **Демо-сертификат** или **Коммерческий сертификат** и укажите путь к файлу .pem с сертификатом.Для получения коммерческого сертификата обратитесь к сотрудникам Лаборатории Касперского или представителям партнера, который проводит пилотное тестирование.
[](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image316.png) - На шаге мастера 7 **Настройка потоков данных** укажите потоки данных, которые планируется использовать в Kaspersky CyberTrace. Набор доступных потоков данных определяется сертификатом, выбранным на предыдущем шаге мастера. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image317.png) - На шаге 8 **Первоначальная настройка завершена** чтобы завершить работу мастера первоначальной настройки, нажмите кнопку **Готово.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/eyNimage318.png)После завершения первоначальной настройки **рекомендуется** изменить пароль администратора, используемый по умолчанию
--- ### Проверка загрузки индикаторов компрометации Чтобы проверить, что индикаторы компрометации, выбранных потоков данных об угрозах, успешно загружены в CyberTrace: - Выберите Тенант **Система.** - Перейдите в раздел **Задачи** и убедитесь, что задача **Feeds update завершилась со статусом **Выполнено**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image319.png) - Перейдите в раздел **Информационная панель** → виджет **Статистика по потокам индикаторов** и проверьте, что столбец **Индикаторы** для каждого фида (потока данных об угрозах) отличен от 0. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image320.png) - Выберите Тенант **General.** - Перейдите в раздел **Индикаторы** и убедитесь в наличии индикаторов компрометации из выбранных потоков данных угрозах. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image321.png) --- ### Настройка обогащения событий Начиная с версии 3.2 в KUMA доступно 2 варианта интеграции с CyberTrace для потокового обогащения событий данными об индикаторах компрометации: - С использованием API CyberTrace (**рекомендуемый**). - С помощью Kaspersky CyberTrace Service (см. Приложение А). #### Интеграция с использованием API CyberTrace - В веб-интерфейсе CyberTrace создайте новую учетную запись пользователя, которая будет использоваться KUMA для подключения к API CyberTrace. Для этого: - Перейдите в раздел **Settings -> Users** и нажмите **Add new user**. В появившемся окне **New user** укажите следующие параметры: - **Login** - <имя учетной записи пользователя> - **Password** - <пароль учетной записи пользователя> - **Confirm password** - <пароль учетной записи пользователя> - **Role** - Analyst - Нажмите **Add**. - Далее в веб-интерфейсе KUMA создайте секрет для подключения к API CyberTrace: - Перейдите в **Ресурсы ->** **Секреты** и нажмите **Добавить**. В появившемся окне укажите следующие параметры: - **Название** - <название секрета> - **Тенант** - <название тенанта, например, Main> - **Тип** - credentials - **Пользователь** - <Имя пользователя, созданного на предыдущем шаге> - **Пароль** - <Пароль, созданного пользователя на предыдущем шаге> - **Описание (опционально)** [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/GN8image.png) - Создайте правило обогащения в веб-интерфейсе KUMA: - Перейдите в **Ресурсы ->** **Правила обогащения** и нажмите **Добавить**. В появившемся окне укажите следующие параметры: - **Название** - <название правила обогащения> - **Тенант** - <название тенанта, например, Main> - **Исходный тип** - cybertrace-http - **URL -** <IP-адрес/FQDN сервера CyberTrace>:443 - **Секрет -** <секрет, созданный на предыдущем шаге> - **Ключевые поля -** <поля, значения которых будут передаваться в CyberTrace на анализ. Как пример, укажите поля со скриншота ниже>В качестве **ключевых полей** необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие.
- - - **Время ожидания -** 0 - **Максимальное кол-во событий в очереди обогащения** - 1000000 - **Описание (опционально)** - **Параметры фильтра** - <условия срабатывания правила обогащения. В качестве примера, ниже используется набор условий, при котором правило будет срабатывать для событий обращения внутренних IP-адресов к внешним IP-адресам> [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/eNyimage.png) Пример готового кода для добавления в правило обогащения: ```json SourceAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] AND NOT DestinationAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] ```Укажите поля DestinationHostName | RequestURL и DestinationNtDomain | DestinationDnsDomain, потому что в событии может быть только одно поле из пары. Если есть оба поля, коннектор CyberTrace в KUMA возьмет только уникальное значение и отправит в CyberTrace на анализ
Если объекты (IP, URL, Domain, Hash) расположены в “кастомных” полях, напр., DeviceCustomString1, то можно создать отдельное правило обогащения, в котором в качестве ключевого поля будет указано необходимое "кастомное" поле/поля
- - Нажмите **Создать**. Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов
Создайте новый сервис коллектора, выбрав на шаге **Парсинг событий** нормализатор **\[OOTB\] CEF**. В качестве коннектор укажите тип **TCP**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image325.png) Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор: - Перейдите в раздел **Ресурсы** → **Активные сервисы**. - Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image326.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image327.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image328.png) --- ### Проверка работы обогащения Kaspersky CyberTrace Чтобы проверить корректность работы правила обогащения и интеграции с Kaspersky CyberTrace: - Создайте тестовый коллектор с коннектором типа TCP и нормализатором \[OOTB\] CEF. - В консоли сервера KUMA или консоли другого хоста выполните команду отправки тестового события с вредоносным IP в созданный коллектор (для отправки используется утилита netcat): ```bash ncДля создания алертов и отслеживания обращений к IP-адресам/доменам/URL, информация о которых есть в фидах CyberTrace, необходимо привязать к коррелятору следующие правила корреляции из SOC Package: **R201\_Обнаружено соединение с подозрительным IP-адресом** **R202\_Обнаружено обращение на подозрительный Domain** **R203\_Обнаружено обращение на подозрительный URL**
Количество обнаружений на основе объектов (IP/домены/URL/хеш-суммы файлов), полученных от KUMA, можно просмотреть в виджете **Обзор статистики** CyberTrace. Для этого: - В веб-интерфейсе CyberTrace выберите тенант **General**. - Перейдите в **Информационная панель** и выберите виджет **Обзор статистики.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image334.png) Чтобы просмотреть обнаруженные индикаторы компрометации во входящих событиях: - В веб-интерфейсе CyberTrace выберите тенант **General**. - Перейдите в **Обнаружения** и убедитесь в наличии в таблице IP-адреса **192.0.2.3** и URL [**http://a7396d61caffe18a4cffbb3b428c9b60.com**](http://a7396d61caffe18a4cffbb3b428c9b60.com)**.** - Нажав на значение индикатора ознакомьтесь с подробной информацией об обнаружении. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image335.png) --- ### Интеграция интерфейса CyberTrace Вы можете интегрировать веб-интерфейс CyberTrace в веб-интерфейс KUMA. Когда эта интеграция настроена и включена, в веб-интерфейсе KUMA появляется раздел CyberTrace с доступом к веб-интерфейсу CyberTrace. Чтобы интегрировать веб-интерфейс CyberTrace в KUMA: - Перейдите в раздел веб-интерфейса KUMA **Ресурсы → Секреты**. - Нажмите на кнопку **Добавить секрет**, чтобы создать новый секрет. Этот ресурс используется для хранения учетных данных для подключения к серверу CyberTrace. - В появившемся окне **Создание секрета**: - В поле **Название** укажите имя для добавляемого секрета. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Тип** выберите **credentials**. - В полях **Пользователь** и **Пароль** введите учетные данные пользователя с ролью Администратор на сервере CyberTrace (в нашем примере будет использоваться учетная запись по умолчанию **admin**). - При необходимости в поле **Описание** добавьте описание для создаваемого секрета. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image336.png) Учетные данные сервера CyberTrace сохранены и могут использоваться в других ресурсах KUMA. - Перейдите в раздел веб-интерфейс KUMA **Параметры → Интеграции → Kaspersky CyberTrace**. - В окне **Интеграция с Kaspersky CyberTrace** укажите: - **Адрес сервера (обязательно)** – введите IP-адрес или FQDN сервера CyberTrace. - **Порт (обязательно)** – введите порт сервера CyberTrace, порт для доступа к веб-интерфейсу по умолчанию 443. - В раскрывающемся списке **Секрет** выберите секрет, который вы создали ранее. - В секции **Разрешить хосты** укажите IP-адрес (если для доступа к веб-интерфейсу KUMA используется IP-адрес) или FQDN (если для доступа к веб-интерфейсу KUMA используется FQDN) сервера KUMA. - Для параметра **Основная версия CyberTrace** укажите используемую версию CyberTrace - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/Kf5image.png) - Убедитесь, что в панели слева веб-интерфейса KUMA появился раздел **CyberTrace**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image338.png) #### **Обновление списка запрещенных объектов CyberTrace (Internal TI)** После интеграции веб-интерфейса CyberTrace в веб-интерфейс KUMA появляется возможность вручную формировать внутренний BlackList из объектов, которые встречаются в событиях KUMA. Данный BlackList (в терминологии CyberTrace фид «Internal TI») будет хранится в CyberTrace и может быть использован для обогащения событий и поиска индикаторов компрометации по аналогии с коммерческими фидами. Чтобы добавить объект в фид Internal TI CyberTrace: - В веб-интерфейсе KUMA откройте карточку события в таблице событий, окне алертов или окне корреляционного события и нажмите ссылку на домене, веб-адресе, IP-адресе или хеш-сумме файла. - В контекстное меню выберите **Добавить в Internal TI CyberTrace**. Выбранный объект добавлен в список запрещенных объектов в CyberTrace. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image339.png) Чтобы просмотреть перечень объектов, добавленных в фид Internal TI CyberTrace: - В веб-интерфейсе KUMA перейдите в раздел **CyberTrace.** - Далее в разделе **Индикаторы** примените фильтр по **Потокам индикаторов**, выбрав **InternalTI**. Нажав на значение индикатора можно просмотреть сведения об индикаторе и при необходимости добавить дополнительные атрибуты. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image340.png) --- ### Приложение А. Интеграция с помощью Kaspersky CyberTrace Service Чтобы настроить обогащение событий данными об индикаторах компрометации с использованием Kaspersky CyberTrace Service создайте правило обогащения: - В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Правила обогащения**. - Нажмите на кнопку **Добавить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image322.png) - В появившемся окне **Создание правила обогащения**: - В поле **Название** введите уникальное имя правила. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Исходный тип** выберите cybertrace. - Укажите URL или IP-адрес сервера CyberTrace, к которому вы хотите подключиться. - При необходимости укажите в поле **Количество подключений** максимальное количество подключений к серверу CyberTrace, которые может одновременно установить KUMA. Значение по умолчанию равно количеству vCPU сервера, на котором установлен Коллектор KUMA. - В поле **Запросов** **в секунду** введите количество запросов к серверу CyberTrace, которое сможет выполнять KUMA в секунду. Значение по умолчанию: 1000. - В поле **Максимальное кол-во событий в очереди обогащения** введите максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1000000. - В поле **Время ожидания** укажите время в секундах, в течение которого KUMA должна ожидать ответа от сервера CyberTrace. Если ответ получен до истечения времени ожидания, он добавляется в поле события TI, и обработка события продолжается. Значение по умолчанию: 30. - В секции **Сопоставление** требуется указать поля событий, значения которых следует отправить в CyberTrace на проверку, а также задать правила сопоставления полей событий KUMA с типами индикаторов CyberTrace: - В столбце **Поле KUMA** выберите поле, значение которого требуется отправить в CyberTrace (в нашем примере поле **RequestUrl и **DestinationAddress**).В качестве отправляемых полей необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие.
- - - В столбце **Индикатор CyberTrace** выберите тип индикатора CyberTrace для каждого выбранного поля (в нашем примере **url и **ip соответственно): - ip - url - hash - В секции **Параметры фильтра** можно задать условия определения событий, которые будут обрабатываться создаваемым правилом обогащения. Переключитесь на **Код** и укажите следующее условие: ``` SourceAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] AND NOT DestinationAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] ``` Правило обогащения будет применяться к событиям, в которых внутренний IP-адрес обращается к внешнему IP-адресу. - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image323.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image324.png) Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов
Создайте новый сервис коллектора, выбрав на шаге **Парсинг событий** нормализатор **\[OOTB\] CEF**. В качестве коннектор укажите тип **TCP**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image325.png) Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор: - Перейдите в раздел **Ресурсы** → **Активные сервисы**. - Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image326.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image327.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image328.png) # DNS-обогащениеИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/3.2/ru-RU/217863.htm](https://support.kaspersky.com/KUMA/3.2/ru-RU/217863.htm)
### ### Обогащение DNSDNS обогащение позволяет преобразовывать доменные имена в адреса для следующих полей:
- DestinationHostName -> DestinationAddress
- DeviceHostName -> DeviceAddress
- SourceHostName -> SourceAddress
А также преобразовывать адреса в доменные имена для следующих полей:
- DestinationAddress -> DestinationHostName
- DeviceAddress -> DeviceHostName
- SourceAddress -> SourceHostName
Важный момент, DNS обогащение работает только для серых сетей
Обогащение происходит если: целевые поля пустые и если резолвится PTR из IP, то будут резолвиться только серые IP
"Cache TTL" в настройках DNS Обогащения (Дефолтовое значение 60 сек), работает следующим образом:
- KUMA резолвит server.example.com в 192.168.1.1 и получает TTL этой записи (от DNS сервера получает) 3600 сек например
- добавляет себе это в кеш
- как только время хранения записи в кеше достигает TTL/2 = 1800 сек, то KUMA сама идет в DNS сервер и обновляет закешированную запись
- те 60 сек которые мы выставляем - это время хранения записей, которые не обновлены с DNS - например server.example.com больше не существует
Поле настройки URL - не обязательно. Если оставить пустым, то при обогащении будут использоваться системные настройки сервера. Соответственно, если DNS в ОС серверов коллекторов разные - то и обогащение будет разное
Если событие с адресом [127.0.0.1](http://127.0.0.1/), то можно перед DNS обогащением в коллекторе в парсинге добавить затирание deviceAddress, если оно равно [127.0.0.1](http://127.0.0.1/), тогда обогащение DNS должно произойти
--- ### Настройка на стороне KUMAДля повышения прозводительности, можно изменять число рабочих процессов коллектора (1 шаг настройки) / самого правила обогащения (для асинхронных задач эффективнее работа)
В разделе **Ресурсы - Правила Обогащения** создаем новое правило, ниже пример типового обогащения для DNS: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/hK8image.png) Далее созданное правило обогащения выше необходимо закрепить в коллекторе в части обогащения. # Обогащение событий KSMG ссылкой на сообщение, помещенное в хранилищеИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Для нормализации событий KSMG в KUMA применяется нормализатор \[OOTB\] KSMG 2.1+ syslog CEF
### Хранилище сообщений KSMG **Хранилище** предназначено для хранения поступающих почтовых сообщений перед их обработкой модулями KSMG. В случае если почтовое сообщение будет отклонено или удалено в результате работы одного из модулей KSMG, аналитик может получить доступ к оригинальному почтовому сообщению в Хранилище.Для сохранения оригинала сообщения в Хранилище в параметрах модуля KSMG должен быть активирован параметр **Поместить исходное сообщение в Хранилище. **Сообщения помещаются в Хранилище вместе с вложениями.
[](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/image.png) ### Создание правила обогащения в KUMA Чтобы настроить обогащение событий KSMG ссылкой на почтовое сообщение, помещенное в Хранилище KSMG, создайте правило обогащения: - В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Правила обогащения**. - Нажмите на кнопку **Создать**. - В появившемся окне **Создание правила обогащения**: - В поле **Название** введите уникальное имя правила. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Тип источника данных** выберите шаблон. - В поле **Шаблон** укажите следующий шаблон ссылки: ``` https://{{.DeviceAddress}}/ru_RU/#/backup?filter=[{"field":"smtp_message_id","condition":"CONTAIN","value":"{{.DeviceCustomString1}}"}] ``` - - В поле **Целевое поле** укажите **DeviceExternalID.** - Опционально добавьте **Описание**. - В секции **Параметры фильтра** укажите условия определения событий KSMG, в которые будет добавляться ссылка. Переключитесь на **Код** и укажите следующее условие: ``` Name = 'message backup result' OR ( S.BackupResult = 'BackedUp' AND Name = 'message result' ) ``` 1. - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/uceimage.png) Далее созданное правило обогащения необходимо применить в Коллекторе для приема и обработки событий KSMG. ### Применение правила обогащения в коллекторе KSMG Чтобы добавить созданное правило обогащения в Коллекторе для приема и обработки событий KSMG: - Перейдите в раздел **Ресурсы** → **Активные сервисы.** - Выберите **Коллектор**, который используется для приема и обработки событий KSMG. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/1mkimage.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/HuCimage.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/rz1image.png) ### Проверка перехода в хранилище KSMG из карточки события KUMA - В разделе **События** выполните поиск событий типа **message backup result** или **message result** ```sql SELECT * FROM `events` WHERE Name = 'message backup result' AND DeviceProduct = 'KSMG' ORDER BY Timestamp DESC LIMIT 250 ``` ИЛИ ```sql SELECT * FROM `events` WHERE Name = 'message result' AND DeviceProduct = 'KSMG' ORDER BY Timestamp DESC LIMIT 250 ``` - Откройте карточку события и убедитесь, что в поле **DeviceExternalID** появилась ссылка для перехода в Хранилище KSMG. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/1Siimage.png) - Выполните переход по ссылке. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/7H8image.png) - В результате будет выполнен переход в Хранилище KSMG с фильтром по сообщению — будет отображаться только то почтовое сообщение, результаты анализа которого представлены в карточке события KUMA. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/QJXimage.png) - Далее аналитик в интерфейсе KSMG может: - Просмотреть свойства сообщения (причину блокировки сообщения, данные отправителя, сработавшие правила). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/jyrimage.png) - - Выполнить предпросмотр сообщения, чтобы ознакомиться с оригинальным текстом сообщения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/2Eqimage.png) - - Скачать сообщение в формате eml. - Выполнить отправку сообщения пользователю в случае False Positive или отправить на повторную проверку. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-06/Hdaimage.png) # Обогащение событий информацией об АктивахНачиная с версии 4.0 обогащение активами стало явным. Теперь для настройки обогащения необходимо создать и добавить на коллектор правило обогащения типа "обогащение активами". Обогащения созданные до обновления остаются как inline-ресурсы, а все созданные после обновления коллекторы не будут иметь встроенного обогащения, его необходимо настроить самостоятельно. Подробности см. [https://support.kaspersky.ru/kuma/4.2/307279](https://support.kaspersky.ru/kuma/4.2/307279)
Активы могут попасть в KUMA следующими способами: - От KSC (FQDN, IP, MAC, Имя ассета (в KSC, Владелец \[Principal name\], Информация об уязвимостях, Информация об установленном ПО, Информация о hardware). KUMA импортирует из базы KSC сведения об устройствах с установленным Агентом администрирования KSC, который подключался к KSC, то есть поле Connection time в базе SQL – непустое. - От KICS - От Vulnerability Scanner: Из коробки: MP8 Scanner, RedCheck. Через новые PreSalesPack скрипты: Nessus, OWASP ZAP; - От CMDB выгрузка в виде CSV, затем скриптом через API добавление в KUMA (скрипт в [**CommunityPack**](https://kas.pr/kuma-ppack)); - Вручную Коллекторы KUMA с периодически получают списки асcетов (активов) от ядра KUMA и хранят их памяти в виде таблиц, позволяющих определить AssetID по **IP адресу и/или FQDN**.У ассета может быть указан массив значений IP и/или FQDN. Обогащение проверяет все IP ассета и/или FQDN.
Про склейку информации об активах, подробнее тут: [https://support.kaspersky.com/help/KUMA/3.2/ru-RU/243031.htm](https://support.kaspersky.com/help/KUMA/3.2/ru-RU/243031.htm)
При поступлении события в коллектор, коллектор выполняет: - нормализацию данных в поля события KUMA; - если в событии содержится информация о SourceAddress, Destination Address, DeviceAddress, SourceHostName, DestinationHostName, DeviceHostName коллектор выполняет поиск IP - AssetID и/или FQDN - AssetID; - если информация об ассете найдена, AssetID проставляется в соответствующее поле нормализованного события; - В общем случае, в нормализованное событие могут быть проставлены 3 типа AssetID: SourceAssetID, DestinationAssetID, DeviceAssetID. После чего события, обогащенные информацией об ассетах направляются в коррелятор и/или хранилище. Пример обогащенного события (при нажатии открывается карточка актива): [](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4PBimage.png) #### Правила обогащения информацией об активах| **Информация в событии** | **Информация в карточке актива** | **Будет ли обогащение** |
| IP | IP + FQDN | Да |
| FQDN | IP + FQDN | Да |
| IP + FQDN | IP + FQDN | Да |
| IP | IP | Да |
| FQDN | IP | Нет |
| IP + FQDN | IP | Нет |
| IP | FQDN | Нет |
| FQDN | FQDN | Да |
| IP + FQDN | FQDN | Да |
Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
[](https://kb.kuma-community.ru/uploads/images/gallery/2024-02/y3dimage.png) Утилита (скрипт) была написана для получения возможности обогощать событие по значению поля со сторонних систем с использованием языка программирования Python3. Tracer.py мимикрирует под механизм обогащения аналогично CyberTrace, с обогащенными данными можно работать подобно обогащению Threat Intelligence. Утилита может работать как на Linux (рекомендуется), так и Windows платформах (ОС).**Для продвинутых пользователей!** Для работы с Tracer.py требуются навыки программирования Python3
Скрипт можно загрузить по [ссылке](https://kas.pr/kuma-ppack) в Пресейл-Паке контенте. Необходимые библиотеки для работы Tracer.py:- import socket
- from select import select
- from signal import signal
- from sys import platform
- from re import match
- from datetime import datetime
- from dateutil.relativedelta import relativedelta
- SERVER = "127.0.0.1" (строка кода 14) - укажите IP-адрес для прослушивания
- PORT = 16666 (строка кода 15) - укажите порт для прослушивания
- Обогащение данными производится в строках 72-74, в переменную somedata можно добавить произвольные данные полученные любым способом (из файла, БД, GET запросом и т.д.), таже можно использовать и другие поля (см строку 74 кода - extraInfo=KUMA\_THE\_BEST\_SIEM) с разделитетем "|"
На стороне KUMA нужно прописать следующее обогащение:
[](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Umzimage.png)
По картинке выше, обогащается значение поля Code и сопоставляется с полем Tracer - url. Производительность скрипта состовляет ~ 50 EPS, при рекомендуемой настройке Enrichment: 50 connections и 100 RPS.
Возможно использовать только поле url в сопоставлении, но туда можно поместить произвольные данные
При обогащении события получаем следующие обогащенные данные: [](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Bczimage.png) Так как используется "нелегальный" механизм обогащения в логах коллектора копятся (периодически очищайте) ошибки следующего вида: [](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/sxmimage.png) # Интеграция OpenCTI и KUMAИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Ссылка на репозиторий [https://github.com/KUMA-Community/KumaOpenctiLookupProxy](https://github.com/KUMA-Community/KumaOpenctiLookupProxy)
В современных SOC-инфраструктурах эффективность анализа событий безопасности напрямую зависит от актуальных данных Threat Intelligence. Интеграция платформы OpenCTI с SIEM-системой Kaspersky Unified Monitoring and Analysis Platform (KUMA) позволяет использовать данные о киберугрозах для обогащения событий безопасности и ускорения расследования инцидентов. Основная задача интеграции — автоматическая проверка индикаторов компрометации (IoC), обнаруженных в событиях KUMA, по базе Threat Intelligence OpenCTI. При нахождении совпадений события дополняются контекстной информацией: описанием индикатора, источником, уровнем доверия и связанными аналитическими отчётами. **Возможности интеграции:** - автоматическая проверка индикаторов компрометации из событий безопасности; - обогащение событий данными Threat Intelligence; - связывание обнаруженных индикаторов с отчётами и аналитикой OpenCTI; - ускорение анализа и расследования инцидентов в SOC. Таким образом, OpenCTI выступает централизованным источником данных о киберугрозах для KUMA, обеспечивая дополнительный уровень контекстного анализа и повышая качество обнаружения атак. --- ## Архитектура интеграции Интеграция реализована через промежуточный сервис **OpenCTI-KUMA Lookup Proxy** — HTTP-сервис, принимающий запросы от KUMA и преобразующий их в запросы к API OpenCTI. **Функции сервиса:** - приём lookup-запросов от KUMA; - поиск индикаторов в OpenCTI среди объектов Indicators и Observables; - формирование ответа в формате CyberTrace HTTP, используемом KUMA для обогащения событий. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-04/image-1775548236979.png) ### Компоненты и технический стек Сервис реализован на **Python** с использованием фреймворка **FastAPI** и развёрнут в Docker-контейнере на сервере OpenCTI в рамках той же Docker-сети. Для запуска используется **Gunicorn** с Uvicorn workers, что обеспечивает эффективную обработку параллельных запросов. Количество worker-процессов рассчитывается по формуле: ``` workers = 2 × CPU + 1 ``` Каждый worker — это отдельный процесс, обслуживающий множество асинхронных HTTP-запросов. Для доступа к сервису извне используется **Nginx** в роли reverse-proxy: он публикует порт `8000` и обеспечивает доступ по HTTPS. Сост [](https://kb.kuma-community.ru/uploads/images/gallery/2026-04/image-1775548258873.png) ### Переменные окружения| Переменная | Описание |
|---|---|
| `LOOKUP_BASIC_USER` | Имя пользователя для подключения KUMA к сервису |
| `LOOKUP_BASIC_PASSWORD` | Пароль для подключения KUMA к сервису |
| `OPENCTI_TOKEN` | Bearer-токен сервисного пользователя OpenCTI |
**Примечание:** группа Integration должна иметь роль с правами **только на чтение** в соответствии с принципом минимально необходимых привилегий.
--- ## API сервиса OpenCTI-KUMA Lookup Proxy Сервис предоставляет два HTTP endpoint:| Метод | Endpoint | Назначение |
|---|---|---|
| `POST` | `/api/1.1/lookup` | Проверка индикаторов (используется KUMA) |
| `GET` | `/health` | Мониторинг состояния сервиса |
| Поле | Описание |
|---|---|
| `description` / `x_opencti_description` | Описание индикатора |
| `pattern` | STIX-паттерн индикатора |
| `created_at` | Дата создания |
| `updated_at` | Дата последнего обновления |
| `valid_from` | Дата начала актуальности индикатора |
| `valid_until` | Дата окончания актуальности индикатора |
| `x_opencti_score` | Степень доверия от 0 до 100 |
| `objectLabel` | Теги индикатора / наблюдаемого объекта |
| `createdBy` | Источник информации |
| `reports` | Связанные аналитические отчёты (при наличии) |
| [](https://kb.kuma-community.ru/uploads/images/gallery/2026-04/KUpimage.png) | [](https://kb.kuma-community.ru/uploads/images/gallery/2026-04/Aubimage.png) |
| Параметр | Значение |
|---|---|
| Название | `<название секрета>` |
| Тенант | `<название тенанта, например, Main>` |
| Тип | `credentials` |
| Пользователь | ` |
| Пароль | ` |
| Описание | *(опционально)* |
| Параметр | Значение |
|---|---|
| Название | `<название правила обогащения>` |
| Тенант | `<название тенанта, например, Main>` |
| Исходный тип | `cybertrace-http` |
| URL | ` |
| Секрет | `<секрет, созданный на предыдущем шаге>` |
| Ключевые поля | `<поля, значения которых передаются в OpenCTI на анализ>` |
| Время ожидания | `0` |
| Макс. кол-во событий в очереди | `1 000 000` |
| Описание | *(опционально)* |
| Параметры фильтра | `<условия срабатывания правила, например: внутренние IP → внешние IP>` |
Весь актуальный и новый контент с описанием добавляется в GitHub - [https://github.com/KUMA-Community](https://github.com/KUMA-Community)
### Реагирование из коробки KUMAРеагирование на KES через KSC:
- Запуск задачи обновления баз KES
- Запуск задачи сканирования KES
Реагирование KEDR:
- Изоляция хоста и снятие с изоляции
- Блокировка хеша по md5 и sha256 на хосте
- Запуск исполняемого файла на хосте по полному пути
Реагирование KICS Networks:
- Изменение статуса актива на Разрешенное
- Изменение статуса актива на Неразрешенное
Реагирование AD (с версии KUMA 2.1):
- Блокировка УЗ
- Сброс пароля УЗ
- Добавление УЗ в группу и исключение из группы
Реагирование Kaspersky Automated Security Awareness Platform (KASAP) – это платформа для онлайн-обучения:
- Изменять группы обучения пользователей
- Просматривать информацию о курсах, пройденных пользователями, и полученных ими сертификатах
### Готовые скрипты (описание)
Telegram Response:
- Оповещения об алерте в телеграм канале
Telegram Response Advanced:
- Оповещения об алерте в телеграм канале
- Бот позволяет закрывать алерты по кнопке, создавать резервную копию и выполнять команды ssh на KUMA.
UserGate Response:
- Блокировка по IP
- Блокировка по URL
- Блокировка по Домену
KEDR Response (script):
- Изоляция хоста и снятие с изоляции
- Блокировка хеша по md5 и sha256 на хосте
- Запуск исполняемого файла на хосте по полному пути
- Логирование реагирования в системном журнале
AD Response:
- Блокировка УЗ и разблокировка
- Выход пользователя из активных сессий
- Добавление УЗ в группу и исключение из группы
KWTS Response:
- Блокировка по URL
- Блокировка по IP
- Блокировка по DOMAIN
KSMG Response (по запросу):
- Блокировка по EMAIL
- Блокировка по IP
KUMA:
- Защита от брутфорса интерфейса KUMA
Cisco ASA Firewall:
- Блокировка по IP
BIFIT Mitigator:
- Временная блокировка трафика по src\_ip, dst\_ip, src\_port, dst\_port, protocol
# Запуск скрипта коррелятором
Интерпретатор скрипта должен поддерживаться ОС на которой находится скрипт.
Для того чтобы коррелятор мог запускать скрипты. Зайти по ssh на сервер где находится служба коррелятора и поместите скрипт (можно сделать с помощью WinSCP или любым другим инструментом) в следующую папку коррелятора: ```bash /opt/kaspersky/kuma/correlator/Если скриптом производится работа с файлами, то пользователь kuma должен иметь права на эти файлы (рекомендуется использовать полный путь в скриптах)
В группирующем поле **правила корреляции** должны находиться целевые поля, которые используются в правилах реагирования, в нашем примере это **DestinationAddress**.
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/tSVimage.png)
В правиле реагирования рекомендуется добавить в условие (если необходимо) правило корреляции, на основе которого реагирование будет срабатывать:
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/tmjimage.png)
После внесения изменений в ресурсах (правила корреляции или реагирования) необходимо обновить параметры коррелятора в активных сервисах
# Настройка автоматического реагирования KUMA с помощью задач KSCИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/KUMA/2.1/ru-RU/217923.htm
### Сценарий демонстрации Предлагается следующий сценарий для демонстрации возможностей по автоматическому реагированию с помощью задач на KSC: - на защищаемом устройстве с KES запустить тестовый вирус eicar - событие обнаружения вируса поступает на KUMA - на KUMA срабатывает корреляционное правило «Обнаружен вирус» - на KUMA выполняется команда на запуск антивирусной проверки на защищаемом устройстве --- ### Настройка на стороне KSC Создать внутреннего пользователя на KSC с необходимыми правами подробнее [**тут**](https://kb.kuma-community.ru/books/integracii/page/integraciia-kuma-s-ksc). Создать задачу поиска вирусов для KES либо обновления баз. В KUMA механизм автоматического реагирования работает только для KES. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/A8qimage.png) В целях тестирования можно уменьшить область поиска. В дальнейшем эту настройку можно изменить. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/wxzimage.png) Выполнить настройки задачи, как на рисунке ниже: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/OfRimage.png) Для создания задачи нужно указать любое устройство. При автоматическом запуске задачи KUMA будет передавать хосты, на которых нужно запустить задачу. Затем нужно выбрать учетную запись и Настроить запуск задачи вручную. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/7f9image.png) Важно в названии задачи сделать префикс «**KUMA**». Задачи для KES с этим префиксом будут доступны в интерфейсе KUMA. В нашем случае создаем задачу «**KUMA Поиск вирусов**». [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/dPRimage.png) Завершить создание задачи. --- ### Настройка на стороне KUMA Настроить интеграцию с KSC. При настройке «секрета» использовать учетную запись KSC, созданную на предыдущем шаге. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IRPimage.png) Далее можно убедиться, что поступают новые события аудита от KSC - подключен пользователь с адреса KUMA. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yO5image.png) акже на этом шаге важно убедится, что значение в поле DestinationHostName записывается в виде полного доменного имени FQDN. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qjximage.png) Если это не так и значение записывается в виде hostname без доменной части, то необходимо настроить нормализацию. Для этого открыть нормализатор KSC. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/DkIimage.png) Настроить преобразование для поля DestinationHostName перед сохранением события [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/gmuimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GhUimage.png) Сохранить нормализатор и обновить параметры коллектора. Проверить, что значение DestinationHostName в новых событиях сохраняются в виде FQDN. --- ### Подготовка ресурсов KUMA Далее необходимо создать правила корреляции и реагирования. Это можно сделать вручную либо импортировать ресурсы из файла (Демонстрационный). Данная инструкция с импортом ресурсов. Файл ресурсов можно скачать по ссылке: [https://box.kaspersky.com/f/a84686dbb6b3404987ff/](https://box.kaspersky.com/f/a84686dbb6b3404987ff/) Пароль: **KLaapt-M1** (вводится в интерфейсе KUMA при импортировании)Для сработки правила реагирования необходимо добавить в наследуеме поля правила корреляции поле DestinationAssetID
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/VvOimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qvOimage.png) Привязать правило корреляции к коррелятору: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/AwMimage.png) Привязать правило реагирования к коррелятору. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/I0Gimage.png) Сохранить настройки и перезапустить коррелятор. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/AIYimage.png) --- ### Проверка автоматического реагирования На защищаемом устройстве эмулировать вирусное заражение с помощью eicar. Получено событие от KSC «Обнаружен вредоносный объект». [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/p1Limage.png) Создано корреляционное событие «\[KES\] Обнаружен вредоносный объект». [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/cQvimage.png) Получены события подключения KUMA к KSC – события аудита. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/psBimage.png) Получены события о выполнении задачи поиска вирусов на KSC. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/iaRimage.png) В KSC присутствуют события обнаружения вируса, подключения KUMA, выполнения задачи поиска вирусов. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/KC6image.png) # Блокировка адресов при помощи Cisco ASA Firewall на основе сработок алертовИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Данный скрипт добавлен пользователем KUMA Community и предоставляется AS IS без каких-либо гарантий и ответственности.
В нашем случае мы при помощи правила корреляции, на основе логов веб-сервера Apache, блокируем входящий трафик от внешних адресов. Для настройки реагирования средствами Cisco ASA (блокировки IP адресов) (пример, при подключении по SSH) необходимо: 1. Авторизоваться на ASA с привилегиями, позволяющими переходить в режим конфигурирования, отправить команду `conf t` 2. Создать объект, в который наш скрипт будет добавлять адреса (черный список), назовём его BLACKLIST. Создаём командой `object network BLACKLIST` 3. На ASA создаём access-list, который будет блокировать входящие сетевые соединения из интернета от IP находящихся в нашем объекте. Пример: `access-list INTERNET extended deny ip object-group BLACKLIST any` --- ### Настройка на стороне KUMA 1. В группирующем поле **правила корреляции** должны находиться целевые поля, которые используются в правилах реагирования, в нашем примере это **sourceAddress**[](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/7Gcimage.png) 2. В "селекторы" и "действия" задаём необходимые в данном кейсе параметры. Обязательно добавить обогащение событие EventOutcome (как указано на скриншоте), это ключ (триггер) для следующего этапа по запуску правила реагирования. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/h7zimage.png) 3. Размещаем скрипт (находится в [папке](https://box.kaspersky.com/d/f630e3ab02b64405881a/?p=%2FResponse%2FCisco%20ASA%20Firewall%20(Community%20User)&mode=list "скрипт asa.py") пресейл-пака) предварительно заменив ключевые данные в скрипте, а именно:ip asa, login, password с правами, необходимыми для добавления в объект BLACK (см. выше, этап настройки ASA) 4. Скрипт помещаем на сервере(-ах) по пути `/opt/kaspersky/kuma/correlator/**Данный этап индивидуален и зависит конкретно от Вашего экземпляра ОС, возможно будут дополнительные ошибки при запуске скрипта, для проверки скрипт можно запускать вручную с сервера и проверять работоспособность**
Также на сервер коррелятора в pip3 необходимо до установить следующие библиотеки, для возможности запуска python3.\* threading paramiko sys argparse subprocess команда: `pip3 install threading paramiko sys argparse subprocess` 6. Создаём правило реагирования, которое будет непосредственно запускать скрипт на коллекторе (шаг 4) [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/etSimage.png) ключевое, задаём Название скрипта, который мы перенесли на сервер коррелятора (шаг 4), также аргументы скрипта, как на скриншоте и ключевое поле EventOutcome = BLOCK (добавляется при срабатывании алерта, при помощи обогащения) (указано как пример, можно задать списком и другими полями). 7. Осталось привязать новое правило корреляции. Привязываем к коррелятору. Ресурсы -> Корреляторы -> Выбираем наш -> Корреляция, привязать (на скриншоте) [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/qZaimage.png) 8. Также необходимо здесь же добавить правило реагирования [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/A12image.png) 9. Готово, сохраняем и рестартуем коррелятор (ы) # Отправка уведомления в телеграм-ботИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
### Настройка Telegram 1\. В Telegram находим бота: [https://t.me/BotFather](https://t.me/BotFather) 2\. Запускаем командой `/start`  3\. Создаем нового бота командой `/newbot` 4\. Вводим желаемое имя и логин бота (должен заканчиваться словом `bot`). В данном примере имя бота "KUMA DEMO" и логин бота "kumademo\_bot". [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/UI2image.png) 5\. По завершении получаем токен для обращения к боту и ссылку на него  6\. Если планируется использовать бота в группе, а не в личных сообщениях, то необходимо изменить настройки приватности. Для этого вводим `/mybots`, выбираем своего бота из списка, выбираем Bot Settings, Group Privacy и выбираем Turn off. После этого бот сможет отправлять сообщения в группах. 7\. Далее переходим в своего бота по ссылке полученной от BotFather и выполняем команду /start для запуска бота. 8\. Для отправки сообщения отдельному пользователю необходимо начать диалог с ботом, а также узнать chat\_id этого пользователя. Чтобы узнать chat\_id пользователя заходим в бота [https://t.me/getmyid\_bot](https://t.me/getmyid_bot) и вводим команду `/start`. Полученное значение chat\_id потребуется в дальнейшем для отправки сообщений ботом  9\. Чтобы отправлять сообщение ботом в группу необходимо узнать chat\_id этой группы. Для этого в созданную группу необходимо пригласить бота [https://t.me/getmyid\_bot](https://t.me/getmyid_bot) и он выведет chat\_id группы (в поле Current chat ID), который потребуется в дальнейшем для отправки уведомлений. После получения id бота нужно удалить из группы. 10\. Теперь можно отправить тестовое сообщение боту набрав в строке браузера команду: ``` https://api.telegram.org/botЕще один вариант скрипта
Еще один вариант скрипта, когда в качестве аргумента передаем следующие поля *"{{.Timestamp}} | {{.Name}} | {{.DeviceHostName}}"*: ```bash #!/bin/bash set -eu CHAT_ID=Данный скрипт добавлен пользователем KUMA Community и предоставляется AS IS без каких-либо гарантий и ответственности.
### Описание Скрипт позволяет осуществить временную блокировку трафика (`tbl`) в политике, которая подпадает под указанные параметры (`src_ip`, `dst_ip`, `src_port`, `dst_port`, `protocol`) или же в указанной политике. --- ### Аргументы `--server` указываем ip адрес сервера, можно захаркодить в скрипте в hostnames = \['x.x.x.x', 'y.y.y.y'\] # Вставить список хостов `--user` указываем имя пользователя, можно захаркодить в скрипте в user = 'login' # Заменить логин `--password` указываем имя пользователя, можно захаркодить в скрипте в passwd = 'passwd' # Заменить пароль `--policy` указываем policy\_id, если известно заранее `-s`, `--ip_src` IP адрес источника для блокировки `-d`, `--ip_dst` IP адрес назначения для блокировки `-t`, `--time` время на которое будет заблокирован трафик `-p`, `--port_src` Порт источника для блокировки `-o`, `--port_dst` Порт назначения для блокировки `-P`, `--protocol` Протокол для блокировки --- ### Правило реагирования  --- ### Скрипт Скрипт на языке python доступен под спойлеромmitigator\_block.py
```python #!/bin/python3 import argparse import json import ssl import sys if sys.version_info >= (3, ): from urllib.request import Request, urlopen from urllib.error import HTTPError else: from urllib2 import Request, urlopen, HTTPError class RequestEx(Request): def __init__(self, *args, **kwargs): self._method = kwargs.pop('method', None) Request.__init__(self, *args, **kwargs) # 'add_data(str)' removed in Python 3.4 in favour of 'Request.data: bytes' def add_data(self, data): if hasattr(self, 'data'): self.data = data.encode('utf-8') else: Request.add_data(self, data) # Request.method was added in Python 3.3 def get_method(self): return self._method if self._method else Request.get_method(self) class MitigatorException(BaseException): def __init__(self, message): self.message = message def __str__(self): return self.message def parse_args(): parser = argparse.ArgumentParser() parser.add_argument('--server', help='Mitigator host') parser.add_argument('--user', help='Mitigator login') parser.add_argument('--password', help='Mitigator password') parser.add_argument('--policy', help='policy ID (as shown in URL)') parser.add_argument('--no-verify', help='disable TLS certificate validation', action='store_true') parser.add_argument('-s', '--ip_src', required=True, help='IP address to block') parser.add_argument('-d', '--ip_dst', required=True, help='IP address to block') parser.add_argument('-t', '--time', required=True, help='block time in seconds', type=int) parser.add_argument('-p', '--port_src', help='Port src to block', type=int) parser.add_argument('-o', '--port_dst', help='Port dst to block', type=int) parser.add_argument('-P', '--protocol', help='Protocol to block') return parser.parse_args() def make_request(hostname, uri, method=None, token=None, policy=None, data=None, parameters=None): url = f'https://{hostname}/api/v4/{uri}' if parameters is not None: url = f'https://{hostname}/api/v4/{uri}?{parameters}' request = RequestEx(url, method=method) if token is not None: request.add_header('X-Auth-Token', token) if data is not None: request.add_data(json.dumps(data)) ctx = ssl.create_default_context() ctx.check_hostname = False ctx.verify_mode = ssl.CERT_NONE ctx = ctx try: response = urlopen(request, context=ctx) except HTTPError as e: try: raise MitigatorException(e.fp.read()) except IOError: raise e return json.load(response)['data'] def block_traffic(hostname, token, options, policy_id): #Вносим во временную блокировку ip адрес if policy_id: tbl_install = make_request(hostname, f'tbl/items?policy={policy_id}&no_logs=false&source=1', token=token, method='POST', data={ "items": [ { "prefix": options.ip_src, "ttl": options.time } ] } ) tbl_install_check = make_request(hostname, f'tbl/list?policy={policy_id}', token=token, method='GET') def search_policy(hostname, token, options): data_request = '' if options.ip_src is not None: data_request += f'src_address={options.ip_src}' if options.ip_dst is not None: data_request += f'&dst_address={options.ip_dst}' if options.port_src is not None: data_request += f'&src_port={options.port_src}' else: data_request += '&src_port=88' # обязательный параметр при запросе policy_id, но в политике может быть не настроен, подставляем произвольный if options.port_dst is not None: data_request += f'&dst_port={options.port_dst}' else: data_request += '&dst_port=88' # обязательный параметр при запросе policy_id, но в политике может быть не настроен, подставляем произвольный if options.protocol is not None: data_request += f'&protocol={options.protocol}' else: data_request += '&protocol=TCP' # обязательный параметр при запросе policy_id, но в политике может быть не настроен, подставляем произвольный policy_request = make_request(hostname, f'policies/by_inbound_packet', token=token, method='GET', parameters=data_request) policy_id = policy_request.get('policy_id') return policy_id if __name__ == '__main__': options = parse_args() if options.server is not None: hostnames = [options.server] else: hostnames = ['x.x.x.x', 'y.y.y.y'] # Заменить список хостов if options.user is not None: user = options.user else: user = 'user' # Заменить логин if options.password is not None: passwd = options.password else: passwd = 'passwd' # Заменить пароль for host in hostnames: url_prefix = f"https://{host}/api/v4" try: data = make_request(host, 'users/session', data={'username': user, 'password': passwd}) token = data['token'] if options.policy is None: policy_id = search_policy(host, token, options) block_traffic(host, token, options, policy_id) else: block_traffic(host, token, options, options.policy) except: continue ```Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Данный сценарий рекомендуется использовать **только в демонстрационных целях**! Правило корреляции из данного сценария написано с широким фильтром и на боевой инсталляции может генерировать большое число алертов!
### Настройка Telegram Настройки Telegram-бота, а также инструкции по импорту скрипта на коррелятор приведены в соответствующей **[статье ](https://kb.kuma-community.ru/books/integracii/page/otpravka-uvedomleniia-v-telegram-bot "Отправка уведомления в телеграм-бот")** --- ### Скрипт уведомления Скрипт отправки уведомления выглядит следующим образом: ```bash #!/bin/bash set -eu CHAT_ID=Состав и пароль от пакета ресурсов
Пароль для импорта: **Qwerty123!** Состав пакета: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/2Ypimage.png)Пример уведомления
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/CPjimage.png)Для работы кнопки реагирования KEDR: Полное доменное имя (FQDN) актива в KUMA должно совпадать со значением Хост в Активах KEDR (вход от Администраторской УЗ)
### Логирование работы с API на стороне CN (Central Node) Зайти по ssh на сервер KATA/KEDR CN и выполнить команду: ```bash [root@kata-cn-4 ~]# cat /var/log/kaspersky/apt-history/apt-history.log 2022-01-11 09:34:06.419690 info apt-history: EXTERNAL_SYSTEM=TEST_KUMA REQUEST_TIMESTAMP=2022-01-11T09:34:06.418883: network isolation SET: host=14b22842-33d6-d3ef-3789-ef5108d6d411 rule={"autoTurnoffTimeoutInSec":180} 2022-01-11 09:36:15.200333 info apt-history: EXTERNAL_SYSTEM=TEST_KUMA REQUEST_TIMESTAMP=2022-01-11T09:36:15.199826: network isolation DELETED: host=14b22842-33d6-d3ef-3789-ef5108d6d411 ``` # Реагирование на KICS Networks с помощью скриптаИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
В связи с ограничениями коробочного реагирования с KICS Networks (возможность выбора полей только \*AssetID) в KUMA 2.х версиях был разработан скрипт, который может использовать произвольное поле, где находится UUID актива в KUMA. Скрипт реагирования можно загрузить из [Пресейл-Пак контент](https://kas.pr/kuma-ppack) из соответсвующей папки. Для попадания событий изменения категорий предварительно нужно **настроить аудит активов**, подробнее можно посмотреть [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/audit-izmenenii-po-aktivam). Вот так выглядит аудита активов (при ручном или любом другом типе добавления в категорию): [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/GBzimage.png) Далее необходимо создать правило корреляции, которое будет менять **статус KICS for Networks** на неразрешенное при добавлении в категорию, например *Main/Categorized assets/KICS-NET/unwanted*. Оно будет выглядеть так (необходимо пробросить поле *DeviceExternalID* в групирующие поля): [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/5KTimage.png) Пример сработки правила корреляции: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/0O3image.png) Далее нужно создать (либо загрузить из Пресейл-Пака) правило реагирование которое будет запускать скрипт из Пресейл-Пака, правило должно выглядеть следующим образом: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/4k8image.png) Скрипт необходимо загрузить и выгрузить на коррелятор и выполнить действия по [**этой статье**](https://kb.kuma-community.ru/books/integracii/page/zapusk-skripta-korreliatorom). В результате правило корреляции и реагирование нужно добавить в коррелятор и обновить его параметры. ТАким образом получим, что при перемещении актива в определенную категорию (например Активным способом по подсети), автоматом эти активы будут помечаться недоверенными. # Активы Добавление активов в KUMA различными способами # Интеграция KUMA с KSCИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/4.0/ru-RU/217923.htm](https://support.kaspersky.com/KUMA/4.0/ru-RU/217923.htm)
Видео «Работа с событиями»: [https://rutube.ru/video/c3012fb60209d69c7adedfefaaf93535/?playlist=540937](https://rutube.ru/video/c3012fb60209d69c7adedfefaaf93535/?playlist=540937)
При наличии интеграции KUMA с сервером Kaspersky Security Center появляется возможность импортировать информацию об активах, защищаемых данной программой, перемещать активы между группами администрирования, закрывать уязвимости (при наличии лицензии от Kaspersky Endpoint Security для бизнеса Расширенный и выше) и выполнять действия по реагированию на активах c установленным Kaspersky Endpoint Security из веб-интерфейса KUMA.Предварительно убедитесь, что на требуемом сервере Kaspersky Security Center разрешено входящее соединение для сервера с KUMA.
Настройка интеграции KUMA с Kaspersky Security Center включает следующие этапы: - Создание в Консоли администрирования Kaspersky Security Center учетной записи пользователя. - Создание секрета в KUMA с типом credentials для соединения с Kaspersky Security Center. - Создание подключения к серверу Kaspersky Security Center. ### Создание учетной записи пользователя #### Kaspersky Security Center Web Console Чтобы создать учетную запись пользователя: - Перейдите в раздел **Пользователи и роли** → **Пользователи и группы** и выберите вкладку **Пользователи**. - Нажмите на кнопку **Добавить**. - В появившемся окне **Добавить пользователя** укажите параметры нового пользователя: - **Имя** - **Пароль** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image260.png) - Нажмите **Сохранить** для завершения создания учетной записи пользователя. Учетная запись пользователей добавлена в список пользователей. Далее создайте роль пользователя с набором прав и разрешений в KSC: - Перейдите в раздел **Пользователи и роли** → **Роли.** - Нажмите на кнопку **Добавить**. - В появившемся окне **Имя новой роли** укажите название новой роли. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image261.png) - Нажмите **ОК.** - В появившемся окне параметров роли перейдите во вкладку **Права доступа** и предоставьте права согласно скриншотам ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image262.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image263.png) - Нажмите **Сохранить**. Назначьте созданную роль ранее созданной учетной записи пользователя: - Перейдите в раздел **Пользователи и роли** → **Пользователи и группы** и выберите вкладку **Пользователи**. - Нажмите на кнопку [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image264.png) и введите имя ранее созданной учетной записи пользователя. - Выберите созданную учетную запись пользователя и нажмите **Назначить роль**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image265.png) - В появившемся окне **Назначение ролей** нажмите справа на **Фильтр** и укажите название ранее созданной роли. - Выберите созданную роль и нажмите **Далее**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/HVaimage266.png) - В следующем окне укажите область применения роли. Выберите **«Сервер администрирования»**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image267.png) - Нажмите **Готово**. - Повторите процедуру и выберите в качестве области применения роли также **Управляемые устройства**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image268.png)Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции: [https://support.kaspersky.com/help/KSC/15.1/ru-RU/211462.htm](https://support.kaspersky.com/help/KSC/15.1/ru-RU/211462.htm)
#### Консоль администрирования Kaspersky Security Center - В дереве консоли Kaspersky Security Center выберите узел с именем Сервера администрирования. - В рабочей области выбранного Сервера администрирования перейдите нажмите **Свойства Сервера**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image269.png) - Перейдите в раздел **Безопасность**. - Создайте учетную запись внутреннего пользователя, нажав **Внутренний пользователь** и далее **Добавить пользователя**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image270.png) - В появившемся окне **Новый пользователь** укажите параметры нового пользователя: - **Имя** - **Пароль** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image271.png) - Нажмите **ОК** для завершения создания учетной записи пользователя. Учетная запись пользователей добавлена в список пользователей. Далее назначьте соответствующие права новой учетной записи пользователя в KSC: - Перейдите в раздел **Безопасность.** - Нажмите **Внутренний пользователь** и в появившемся окне **Выбор пользователя** в поле **Поиск** укажите созданную учетную запись пользователя. - Выберите созданную учетную запись пользователя и нажмите **ОК**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image272.png) - Выберите учетную запись в списке и в секции **Разрешения для <имя учетной записи>** на вкладке **Права** назначьте права согласно скриншоту ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image273.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image274.png) - Нажмите **Применить** и далее **ОК**. - Убедитесь, что в Группах устройств KSC, активы из которых необходимо импортировать включен параметр **Наследовать параметры Сервера администрирования или родительской группы,** или добавлена ранее созданная учетная запись с правами, как на скриншоте выше. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image275.png)Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции: [https://support.kaspersky.com/help/KSC/15.1/ru-RU/211812.htm](https://support.kaspersky.com/help/KSC/15.1/ru-RU/211812.htm)
--- ### Создание секрета в KUMA После создания учетной записи в KSC требуется добавить секрет в веб-интерфейсе KUMA. Этот ресурс будет хранить учетные данные для подключения к KSC. Чтобы создать секрет в KUMA выполните следующие действия: - Откройте раздел веб-интерфейса KUMA **Ресурсы** → **Секреты**. Отобразится список доступных секретов. - Нажмите на кнопку **Добавить**, чтобы создать новый секрет. - В появившемся окне **Создание секрета** введите данные секрета: - В поле **Название** укажите имя для добавляемого секрета. - В раскрывающемся списке **Тенант** выберите тенант, которому будет принадлежать создаваемый ресурс. - В раскрывающемся списке **Тип** выберите **credentials**. - В поле **Пользователь** укажите имя созданной учетной записи в KSC (для доменной учетной записи используйте формат: **пользователь@домен**). - В поле **Пароль** укажите пароль учетной записи - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/image276.png)Из соображений безопасности после сохранения секрета строки, указанные в полях **Пользователь** и **Пароль**, скрываются
--- ### Создание подключения к Kaspersky Security Center Чтобы создать подключение к Kaspersky Security Center: - Откройте веб-интерфейс KUMA и выберите раздел **Параметры → Интеграции → Kaspersky Security Center**. - В появившемся окне **Интеграция с Kaspersky Security Center по тенантам** нажмите **Добавить параметры для нового тенанта.** - В появившемся окне **Kaspersky Security Center**: - Выберите тенант, для которого вы хотите создать подключение к Kaspersky Security Center, по умолчанию, **Main**. - В секции **KSC активы, информация об оборудовании** укажите **Интервал обновления данных** (час.), по умолчанию 1 час. - В секции **Атрибуты активов KSC (уязвимости, программное обеспечение, владельцы)** укажите **Интервал обновления данных** (час.), по умолчанию 12 часов. - В секции **Подключения** нажмите **Создать** и в появившемся окне **Создать подключение** укажите: - **Название** – имя подключения. - **URL** – URL сервера Kaspersky Security Center в формате hostname:port или IPv4:port. - В раскрывающемся списке **Секрет** выберите ранее созданный секрет с учетными данными Kaspersky Security Center. - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/Fvwimage.png) - - После возвращения в окно **Kaspersky Security Center **нажмите **Добавить.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ZsTimage.png) Подключение к серверу **Kaspersky Security Center **создано. Его можно использовать для импорта информации об активах из Kaspersky Security Center в KUMA и для создания задач, связанных с активами, в Kaspersky Security Center прямо из веб-интерфейса KUMA. --- ### Импорт активов из Kaspersky Security Center **Активы в KUMA —** это рабочие станции, серверы и сетевое оборудование вашей организации. Вы можете импортировать активы в KUMA для получения дополнительной информации об устройствах при анализе событий и расследовании инцидентов: IP-адрес, владельца, ОС, данные о ПО и «железе», а также сведения об уязвимостях. Активы в KUMA можно добавить следующими способами: - Импортировать активы: - Из отчетов сканеров уязвимостей: - MP8 Scanner; - MaxPatrol VM; - RedCheck; - Nessus; - OWASP ZAP. - По расписанию: из Kaspersky Security Center и KICS for Networks. - Создать активы вручную через веб-интерфейс или с помощью API. Пользователь KUMA может: - Просматривать информацию об активах. - Искать активы. - Добавлять активы, редактировать их и удалять. - Экспортировать данные об активах в CSV-файл. Ниже рассмотрен процесс импорта активов из Kaspersky Security Center. Чтобы выполнить импорт информации об активах из Kaspersky Security Center: - Откройте веб-интерфейс KUMA и перейдите в раздел **Параметры → Интеграции → Kaspersky Security Center**. - Выберите тенант, в котором ранее было создано подключение к Kaspersky Security Center. - В окне **Kaspersky Security Center нажмите на созданное подключение к KSC и в появившемся окне **Изменить подключение** нажмите **Загрузить** для загрузки иерархии групп активов KSC. - Отобразится иерархия групп активов KSC. Выберите группы, устройства из которых необходимо импортировать. - Дополнительно активируйте параметр **Импортировать активы из новых групп.** Это позволит при добавлении новых групп в KSC автоматически импортировать из них активы. - Нажмите на кнопку **Импортировать активы KSC**. Будет создана задача по импорту активов. - Нажмите на кнопку **Импортировать атрибуты активов KSC**. Будет создана задача по импорту атрибутов активов. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/DBOimage.png) - В окне **Kaspersky Security Center** также нажмите **Сохранить**. - Перейдите в раздел **Диспетчер задач**. - Нажмите на задачу **Импорт активов KSC** со статусом **Завершено**. В окне справа **Информация о задаче** будет указано количество активов, информация о которых была импортирована в KUMA. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/jVrimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/xJVimage.png) - Нажмите на задачу **Импорт атрибутов активов KSC** со статусом **Завершено**. В окне справа **Информация о задаче** будет указано количество активов, для которых была импортирована информация об атрибутах. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/HgQimage.png)Информация об активах и их атрибутах успешно импортирована. Чтобы просмотреть информацию об импортированных активах: - Перейдите в раздел **Активы** → выберите один из активов в списке. - В окне справа отобразится информация об активе. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/1CGimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/KEOimage.png) --- ### Настройка обогащения событий информацией об активахНачиная с версии 4.0 KUMA обогащение активами настраивается вручную. Возможность ручной настройки правила обогащения типа "Обогащение активами" позволяет самостоятельно выбрать поля, в которых содержится информация об активе для сопоставления с базой импортированных активов, помимо стандартных SourceAddress/DestinationAddress, SourceHostName/DestinationHostName и других.
#### Создание правила обогащения в KUMA Чтобы настроить обогащение событий информацией об активах создайте правило обогащения: - В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Правила обогащения**. - Нажмите на кнопку **Создать**. - В появившемся окне **Создание правила обогащения**: - В поле **Название** введите уникальное имя правила. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Тип источника данных** выберите **обогащение активами**. - Опционально добавьте **Описание**. - В секции **Сопоставление** нажмите **Применить сопоставление по умолчанию.** - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/bM7image.png) Далее созданное правило обогащения необходимо применить в Коллекторах, в событиях которых есть поля, указанные в секции **Сопоставление** (см. выше). Примеры источников для которых можно настроить данный тип обогащения: Windows (WEC/WMI, сбор событий Windows с помощью KES), Linux, KSC/KES, NGFW, Netflow.Данный перечень источников не является исчерпывающим. Вы также можете настраивать собственное сопоставление полей KUMA и полей для записи данных.
#### Применение правила обогащения в коллекторе На примере коллектора для приема событий Windows, пересылаемых KES. Чтобы добавить созданное правило обогащения в Коллекторе: - Перейдите в раздел **Ресурсы** → **Активные сервисы.** - Выберите **Коллектор**, который используется для приема и обработки событий Windows, пересылаемых KES. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ouqimage.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/8pWimage.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. #### Проверка обогащения событий информацией об активах Чтобы проверить, что обогащение событий информацией об активах успешно выполняется: - Перейдите в раздел **Ресурсы** → **Активные сервисы.** - Выберите **Коллектор**, который используется для приема и обработки событий Windows, пересылаемых KES. - Нажмите ПКМ на Коллектор и выберите **Перейти к событиям.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/mcWimage.png) - В разделе **События** дополните условие поискового запроса и приведите его к следующем виду для поиска событий, обогащенных информацией об активах: ```sql SELECT * FROM `events` WHERE (DeviceAssetID != '' OR SourceAssetID !='' OR DestinationAssetID !='') AND ServiceID = 'Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Данная инструкция предназначена строго для версии KATA/NDR **7.0**.
Данная инструкция предназначена для импорта информации об активах, полученной KATA/NDR в KUMA.
### Настройка KATA/NDR Для настройки пересылки событий из KATA/NDR в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль KATA/NDR из-под учетной записи Администратора 2\. Перейти в раздел **Параметры** – **Коннекторы** и нажать на кнопку **Добавить коннектор**  3\. В открывшемся окне настроить параметры интеграции с KUMA: **Тип коннектора**: KUMA; **Имя коннектора**: произвольное название, например, *KUMA;* **Пароль доступа к сертификату коннектора**: задайте пароль для файла свертки; **Пароль (повторно)**: повторите введенный ранее пароль; **Адрес сервера**: Адрес CN KATA/NDR; **Узел размещения коннектора**: Адрес сервера в кластере KATA/NDR для размещения коллектора (в случае Single node будет совпадать с предыдущем пунктом); **Пользователь программы**: выбрать нужного из выпадающего списка.  3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**. В результате будет загружен архив, а также в интерфейсе KATA/NDR созданный коннектор перейдет в состояние **Работает**.  --- ### Настройка KUMA Перейдите в веб-интерфейс KUMA на вкладку Параметры - KICS/KATA и задайте параметры интеграции: **Выключено**: галочка должна быть снята для работы интеграции; **Тенант**: выберите необходимый тенант из выпадающего списка*;* **Включить реагирование**: требуется для изменения статуса устройств; **Файл свертки:** загрузите архив, полученный при настройке на стороне KATA/NDR; **Пароль файла свертки**: укажите пароль от архива, заданный при настройке на стороне KATA/NDR;  По окончании настройки нажмите кнопку **Сохранить**. --- # Nessus и OWASP ZAP В KUMA можно импортировать сведения об активах из отчетов о результатах сканирования устройств с помощью Nessus, OWASPZAP, системы контроля защищенности и соответствия стандартам. Импорт происходит через API с помощью утилиты `import_asset_Nessus_OWASP.py` (скрипт находится в Community-Pack в папке Assets \[ссылка доступна из [Дисклеймера](https://kb.kuma-community.ru/)\]). Импортированные активы отображаются в веб-интерфейсе KUMA в разделе Активы. При необходимости вы можете редактировать параметры активов. ### Предварительные настройки в KUMA Создайте пользователя с ролью **главный администратор** со следующими **правами доступа для API**: - GET /tenants - GET /users/whoami - POST /assets/import [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/FBZimage.png) Сохраните настройки, **сгенерируйте токен** и отдельно сохраните его, например, в каком-либо текстовом редакторе. Нажмите **Сохранить**. Добавьте **дополнительнео поле** с названием «Description» в разделе **Параметры - Активы - Пользовательские атрибуты**. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/J5cimage.png) **Сохраните** изменения. ### Импорт отчета от Nessus Пример отчета от Nessus в формате CSV: ``` Plugin ID,CVE,CVSS v2.0 Base Score,Risk,Host,Protocol,Port,Name,Synopsis,Description,Solution,See Also,Plugin Output,STIG Severity,CVSS v3.0 Base Score,CVSS v2.0 Temporal Score,CVSS v3.0 Temporal Score,VPR Score,Risk Factor,BID,XREF,MSKB,Plugin Publication Date,Plugin Modification Date,Metasploit,Core Impact,CANVAS "70658","CVE-2008-5161","2.6","Low","1.2.3.9","tcp","22","SSH Server CBC Mode Ciphers Enabled","The SSH server is configured to use Cipher Block Chaining.","The SSH server is configured to support Cipher Block Chaining (CBC)encryption. This may allow an attacker to recover the plaintext messagefrom the ciphertext.Note that this plugin only checks for the options of the SSH server anddoes not check for vulnerable software versions.","Contact the vendor or consult product documentation to disable CBC modecipher encryption, and enable CTR or GCM cipher mode encryption.","","The following client-to-server Cipher Block Chaining (CBC) algorithmsare supported:3des-cbcaes128-cbcaes192-cbcaes256-cbcblowfish-cbccast128-cbcThe following server-to-client Cipher Block Chaining (CBC) algorithmsare supported:3des-cbcaes128-cbcaes192-cbcaes256-cbcblowfish-cbccast128-cbc","","","1.9","","2.5","Low","32319","CERT:958563;CWE:200","","2013/10/28","2018/07/30","","","" ``` Далее необходимо хапустить скрипт `import_asset_Nessus_OWASP.py` по этому отчету указав необходимые параметры для его корректного запуска. Возможные опции скрипта: ```python # python import_asset.py --help usage: import_asset.py [-h] --kuma KUMA --token TOKEN --tenant TENANT --vendor {Nessus,OWASPZAP} --filepath FILEPATH options: -h, --help show this help message and exit --kuma KUMA IP адрес сервера KUMA --token TOKEN Токен API --tenant TENANT Имя Тенанта --vendor {Nessus,OWASPZAP} Наименование вендора --filepath FILEPATH Путь до отчета ``` Пример запуска по отчету Nessus: ```python python3 import_asset_Nessus_OWASP.py --kuma 10.68.85.126 --token 98417b064c2a5cdfdf6bd011126c6453 --tenant Main --vendor Nessus --filepath C:\Users\ose\Downloads\nessus.csv ``` В KUMA актив будет выглядит следующим образом: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/kmzimage.png) ### Импорт отчета от OWASP ZAP Пример отчета от Nessus в формате CSV: ```json { "@programName": "OWASP ZAP", "@version": "2.13.0", "@generated": "Mon, 25 Sep 2023 11:43:20", "site": [ { "@name": "https://demo.lab", "@host": "demo.lab", "@port": "443", "@ssl": "true", "alerts": [ { "pluginid": "10035", "alertRef": "10035", "alert": "Strict-Transport-Security Header Not Set", "name": "Strict-Transport-Security Header Not Set", "riskcode": "1", "confidence": "3", "riskdesc": "Low (High)", "reference": "https://ya.ru", "desc": "HTTP Strict Transport Security (HSTS)" } ] } ] } ``` Далее необходимо хапустить скрипт `import_asset_Nessus_OWASP.py` по этому отчету указав необходимые параметры для его корректного запуска. Возможные опции скрипта: ```python # python import_asset.py --help usage: import_asset.py [-h] --kuma KUMA --token TOKEN --tenant TENANT --vendor {Nessus,OWASPZAP} --filepath FILEPATH options: -h, --help show this help message and exit --kuma KUMA IP адрес сервера KUMA --token TOKEN Токен API --tenant TENANT Имя Тенанта --vendor {Nessus,OWASPZAP} Наименование вендора --filepath FILEPATH Путь до отчета ``` Пример запуска по отчету OWASP ZAP: ```python python3 import_asset_Nessus_OWASP.py --kuma 10.68.85.126 --token 98417b064c2a5cdfdf6bd011126c6453 --tenant Main --vendor OWASPZAP --filepath C:\Users\ose\Downloads\owasp.json ``` В KUMA актив будет выглядит следующим образом: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/lfnimage.png) # Импорт информации об активах RedCheck
Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
### Импорт информации об активах RedCheck В KUMA можно импортировать сведения об активах из отчетов о результатах сканирования сетевых устройств с помощью RedCheck, системы контроля защищенности и соответствия стандартам. Импорт происходит через API с помощью утилиты `redcheck-tool.py`. Импортированные активы отображаются в веб-интерфейсе KUMA в разделе Активы. При необходимости вы можете редактировать параметры активов.Импорт поддерживается из RedCheck 2.6.8 и выше
Поддерживается импорт информации о хостах только под управлением ОС Windows
Для работы утилиты требуется python верси 3.6 или выше, а также библиотеки: csv, re, json, requests, argparse, sys
Чтобы импортировать данные об активах из отчета RedCheck: 1\. Сформируйте в RedCheck отчет сканирования сетевых активов в формате CSV и скопируйте файл отчета на сервер со скриптом. Подробнее о задачах на сканирование и форматах выходных файлов см. в документации RedCheck.Импорт доступен из "Простых" отчетов "**Уязвимости**" и "**Инвентаризация**" сгруппированных по хостам в формате CSV. Подробнее на сайте RedCheck: [https://docs.redcheck.ru/articles/#!redcheck-user-269/reports](https://docs.redcheck.ru/articles/#!redcheck-user-269/reports)
2\. Создайте токен для доступа к KUMA REST API. Требования к учетным записям, для которых генерируется API-токен: - Роль Администратора или Аналитика. - Доступ к тенанту, в который будут импортированы активы. - Настроены права на использование API-запросов GET /assets, GET /tenants, POST /assets/import 3\. Скопируйте утилиту redcheck-tool.py на сервер ядра KUMA и сделайте файл утилиты исполняемым с помощью команды: ```bash chmod +x <путь до файла redcheck-tool.py> ``` 4\. Запустите утилиту redcheck-tool.py: ```bash python3 redcheck-tool.py --kuma-rest <адрес и порт сервера KUMA REST API> --token| **Флаги и команды** | **Обязательный** | **Описание** |
| --kuma-rest <адрес и порт сервера ядра KUMA> | Да | По умолчанию для обращения по API используется порт 7223. При необходимости его можно изменить. |
| --token <токен> | Да | Значение в параметре должно содержать только токен. Учетной записи, для которой генерируется API-токен, должна быть присвоена роль Администратора или Аналитика. |
| --tenant <название тенанта> | Да | Название тенанта KUMA, в который будут импортированы активы из отчета RedCheck |
| --vuln-report <полный путь к файлу отчета "Уязвимости"> | Да | Файл должен содержать отчет "Уязвимости" в формате CSV |
| --inventory-report <полный путь к файлу отчета "Инвентаризация"> | Нет | Файл должен содержать отчет "Инвентаризация" в формате CSV |
| -v | Нет | Выведение расширенной информации об импорте активов |
| **Сообщение об ошибке** | **Описание** |
| Tenant %w not found | Имя тенанта не найдено |
| Tenant search error: Unexpected status Code: %d | При поиске тенанта был получен неожиданный код ответа HTTP |
| Asset search error: Unexpected status Code: %d | При поиске актива был получен неожиданный код ответа HTTP |
| \[%w import\]\[error\] Host: %w Skipped asset with FQDN localhost or IP 127.0.0.1 | При импорте информации инвентаризации/уязвимостей был пропущен хост с fqdn=localhost или ip=127.0.0.1 |
Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Ссылка на документацию [https://support.kaspersky.com/help/KUMA/3.2/ru-RU/265426.htm](https://support.kaspersky.com/help/KUMA/3.2/ru-RU/265426.htm)
#### Импорт Утилита для импорта находится в следующей директории **kuma-ansible-installer/roles/kuma/files/maxpatrol-tool** Для импорта необходимо выполнить следующие шаги: 1. Сформировать отчет **сканирования сетевых активов в формате XML file ** 2. Поместить отчет и скрипт в одной директории (можно выполнить на ядре KUMA) 3. Подготовить API права для утилиты: 1. В KUMA создать пользователя kuma-mp 2. Дать права на **GET /users/whoami** и **POST /assets/import** 3. Сгенерировать токен (его сохранить в файл на сервере, где будет выполнятся команда 4. Далее в веб-консоли KUMA нужно будет скачать REST API CA [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/9lZimage.png) 5. Этот сертификат нужно перенести на сервер, где будет выполнятся скрипт 6. Выполнить команду: ``` ./maxpatrol-tool --kuma-rest <адрес и порт сервера KUMA REST API> --token <путь и имя файла с API-токеном> --tenant <название тенанта, куда будут помещены активы> <путь и имя файла с отчетом MaxPatrol> --cert <путь к файлу сертификата Ядра KUMA> ``` Пример: ``` ./maxpatrol-tool --kuma-rest example.kuma.com:7223 --token token.txt --tenant Main mp.xml --cert core-external-ca.cert ``` 7. Для автоматизации добавления активов из папки по отчетам - можно воспользоваться **[скриптом](https://github.com/KUMA-Community/kuma_vuln_report_auto).** # Импорт данных об активах из MaxPatrol VMИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Данная статья является дополнением к основной статье официальной документации [https://support.kaspersky.com/help/KUMA/3.2/ru-RU/265427.htm](https://support.kaspersky.com/help/KUMA/3.2/ru-RU/265427.htm)
Протестирована работоспособность c MaxPatrol VM 2.1 и 2.9
### Подготовительные действия в MP VM Созданной учетной записи в MaxPatrol VM присвойте роль "Оператор". ### Создание конфигурационного файла В конфигурационном файле **kuma-ptvm-config.yaml**: - в секции **MaxPatrol** для параметра **endpoint** укажите MP API endpoint URL без указания cхемы (https://) и порта (по умолчанию, MP VM использует порт 443 для API-запросов) - в секции **MaxPatrol** для параметра **password** укажите пароль, при этом учитывайте, что если пароль содержит спецсимволы (":", "-", "$", "\*" и др.), в таком случае пароль необходимо "обернуть" в одинарные или двойные кавычки - в секции **tenants** для параметра **fqdn** укажите регулярное выражение ".\*", если не требуется искать активы, fqdn которых соответствует заданному регулярному выражению - в секции **tenants** можно не указывать значения подсетей для параметра **networks**, если необходимо импортировать все активы, доступные в MP VM ### Поиск импортированных активов Для поиска импортированных активов MP VM перейдите в **Активы** -> Выберите **Поиск с условиями** и задайте условие согласно скриншоту ниже. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/steimage.png) Нажмите **Поиск**. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/Yfvimage.png)Если актив уже ранее был импортирован из KSC и аналогичный актив импортируется из MP VM, в таком случае карточка актива дополнится информацией об уязвимостях, обнаруженных MP VM.
Если актив изначально был импортирован из MP VM и далее аналогичный актив (с аналогичным IP и FQDN) будет импортирован из KSC, в таком случае актив "переподчинится" на управляемый из KSC.
Для поиска активов, которые ранее уже были импортированы из KSC и информация в карточке таких активов была дополнена данными MP VM, выберите **Поиск с условиями** и задайте условия согласно скриншоту ниже. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/2XRimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/Fnpimage.png) Нажмите **Поиск**. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/QSHimage.png) Карточка актива с информацией об уязвимостях, полученной из KSC и из MP VM выглядит согласно скриншоту ниже. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/0Hhimage.png) # Автоматическое добавление активов ### Развёртывание скрипта импорта активов Инструкция описывает установку скрипта реагирования на хост коррелятора и последующую настройку в веб-интерфейсе KUMA. #### Что делает скрипт Скрипт принимает два аргумента — тенант и связку `IP|FQDN` — формирует запрос к API KUMA и импортирует актив (`POST /assets/import`) в указанный тенант. --- #### Часть 1. Подготовка скрипта на хосте коррелятораkuma\_import\_asset.sh
```bash #!/usr/bin/env bash # # Импорт актива в KUMA через POST /api/v3/assets/import # # Использование: # ./kuma_import_asset.sh**Требования к токену.** Токен должен принадлежать пользователю, у которого есть права на импорт активов — операцию `POST /assets/import`. Такими правами обладают роли: «Главный администратор», «Администратор тенанта», «Аналитик 2 линии», «Аналитик 1 линии». Без соответствующих прав API вернёт ошибку доступа (403) и актив не импортируется.
##### 1.2. Определить ID коррелятора ID коррелятора можно посмотреть в веб-интерфейсе системы в разделе активных сервисов (**Ресурсы→ Активные сервисы**). Он потребуется для пути размещения скрипта. ##### 1.3. Разместить скрипт Скопируйте скрипт в каталог `scripts` нужного коррелятора, подставив его ID: ```bash /opt/kaspersky/kuma/correlator/При интеграции с AD/ADFS важно иметь единое время на системах, настоятельно рекомендуется настроить NTP
Аутентификация работает только для одного домена. Поэтому все группы должны быть созданы в корневом домене.
Пример инфраструктуры AD:
- корневой домен леса - example.com
- контроллер домена - dc-01.example.com
- дочерний домен - subdomain.example.com
В дочернем домене созданы:
- OU «KUMA subdomain»
- Universal группы безопасности: «kuma\_subdomain\_analyst», «kuma\_subdomain\_admin», «kuma\_subdomain\_operators»
- Пользователи: subdom\_admin, subdom\_analyst
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/bpuimage.png)
Пользователи являются членами соответствующих групп:
```powershell
Get-ADUser -Identity subdom_analyst -Properties CN,memberOf,UserPrincipalName
```
### Настройки KUMA
Base DN – корневой домен (**не обязательно весь корневой домен**, зависит от вашего AD)
URL – контроллеры корневого домена, порт глобального каталога (**обязательно**)
Важно:
- Все группы доступа должны быть UNIVERSAL
- У пользователей в AD должно быть заполнен атрибут **email**
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/lLwimage.png)
Далее – для каждого тенанта указываете DistinguishedName групп, соответствующих правам доступа.
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eIEimage.png)
Информация по ролям и их возможностям: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/218031.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/218031.htm)
Важный момент:
- Предоставление доступа происходит по принципу «**наименьших прав**». Если учетка пользователя одновременно состоит нескольких в группах одного тенанта.
- Например: kuma-analysts и kuma-admins, то пользователь получит права аналитика. Поэтому, при переводе работников из операторов в аналитики или аналитиков в админы, необходимо не только добавить пользователя в соответствующую новую группы, но еще и удалить из старой группы.
### Результат
Для доменной аутентификации, как таковой учетки в KUMA не требуется. Когда все настроено, вводится доменный логин и пароль и в этот момент KUMA биндится к LDAP.
При аутентификации, пользователь вводит в консоль свою доменную учетку в формате UPN (user@example.com) и, на основании членства этой учетки в той или иной группе, пользователю предоставляется доступ к разным тенантам с указанными правами.
- Залогинившись под доменной учеткой [subdom\_analyst@subdomain.example.com](mailto:subdom_analyst@subdomain.example.com)
- Получаем права роли analyst в тенанте Main
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/N4Kimage.png)
Пример входа в KUMA с доменной учетной записью (kuma-admin@sales.lab):
Права API можно выдавать только для внутренних пользователей, не из AD
### Порты AD- Порт **3268**. Этот порт используется для запросов, специально предназначенных для глобального каталога. Запросы LDAP, отправленные на порт 3268, можно использовать для поиска объектов во всем лесу. Однако могут быть возвращены только атрибуты, помеченные для репликации в глобальный каталог. Например, отдел пользователя не может быть возвращен через порт 3268, так как этот атрибут не реплицируется в глобальный каталог.
- Порт **389**. Этот порт используется для запроса информации с локального контроллера домена. Запросы LDAP, отправленные на порт 389, можно использовать для поиска объектов только в домашнем домене глобального каталога. Однако запрашивающее приложение может получить все атрибуты этих объектов. Например, запрос на порт 389 может быть использован для получения отдела пользователя.
- При интеграции с SSL необходимо использовать сертификат Active Directory. В KUMA поддерживаются открытые ключи сертификата X.509 в Base64. Стандартный порт LDAPS - **636**.
### Полезные команды
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/SH3image.png)
# Интеграция KUMA с ALD Pro и FreeIPA
Интеграция является не официальной
Документация по службе каталогов для Linux Astra ALD Pro: [https://astra.ru/software-services/application-software-astra-group/ald-pro/#docs](https://astra.ru/software-services/application-software-astra-group/ald-pro/#docs)
Настройки выполняются по налогии со статьей: [https://kb.kuma-community.ru/books/integracii/page/integraciia-kuma-s-active-directory-ad](https://kb.kuma-community.ru/books/integracii/page/integraciia-kuma-s-active-directory-ad)
При интеграции с ALD Pro важно иметь единое время на системах, настоятельно рекомендуется настроить NTP
Выберите тип интеграции FreeIPA и группы для учетных записей заводите в таком виде: ```bash uid=is.ldap.usr,cn=users,cn=accounts,dc=company,dc=com ```Пример настроенной интеграции:
В итоге доменная аутентификация работает и пользователи появлялись с заданными правами.
Для успешной аутентификации необходимо соблюдать следующие условия при входе в систему пользователю следует указывать в логине домен заглавными буквами. Пример: Предварительно нужно выполнить настройку обогащение по этой статье [https://kb.kuma-community.ru/books/integracii/page/ldap-obogashhenie](https://kb.kuma-community.ru/books/integracii/page/integraciia-s-active-directory-ldap-obogashhenie)
### Инструкция для KUMA до версий 4.0 #### Шаг 1. Нам нужно выгрузить сопоставление, например login(sAMAccountName)-mail. Создаете словарь типа таблица (важно), ключ login, колонка mail. Добавляете одну запись любую, чтобы сохранить словарь можно было. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/PBAimage.png) Если нужно выгрузить другое поле, посмотрите его название по примеру вывода одной записи из обогащения: `/opt/kaspersky/kuma/mongodb/bin/mongo localhost/kuma --quiet --eval "db.accounts.findOne({"archived":false})"` #### Шаг 2. Выбираете пользователя в KUMA, даете ему права на запрос POST /dictionaries/update, генерируете токен и записываете себе куда-нибудь (например в блокнот). #### Шаг 3. На коре выполняете скрипт (нужно поставить утилиту jq): ```bash echo 'login,mail' > /tmp/accounts.csv; /opt/kaspersky/kuma/mongodb/bin/mongo localhost/kuma --eval 'DBQuery.shellBatchSize=Воспользуйтесь скриптом из [https://github.com/KUMA-Community/KUMA-sqlite-to-table](https://github.com/KUMA-Community/KUMA-sqlite-to-table)
# KSC: увеличение лимита экспорта событий в SIEM (Syslog/CEF)Официальная документация по настройке автоматического экспорта событий в SIEM-системы: [https://support.kaspersky.ru/ksc/14.2/151333](https://support.kaspersky.ru/ksc/14.2/151333)
По умолчанию KSC отдает события по Syslog не более 100 штук каждые 30 секунд. При большом количестве защищаемых устройств и/или передаваемых событий может возникнуть ситуация, когда события с KSC будут не успевать доставляться в SIEM, и будет копиться очередь событий на отправку. Изменить значение по экспорту событий, можно в реестре в системе с установленным Сервером администрирования. Раздел: ```vb.net HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\KasperskyLab\Components\34\1093\1.0.0.0\ServerFlags ``` Флаги: - KLSPLG\_READ\_MAX\_COUNT\_SF - количество событий, обрабатываемых в каждой итерации. Значение по умолчанию - 100 (в десятичной форме) - KLSPLG\_READ\_DB\_PERIOD\_SF - скорость итерации в миллисекундах. По умолчанию 30000 (в десятичной форме). Подходить к изменению значений по умолчанию нужно с осторожностью. Изменения скорости могут повлиять на общую производительность системы. Рекомендуется постепенно увеличивать значения, внимательно следя как за KSC, так и за его СУБД. # Создание TAA-алертов в KUMA с KATA ### Введение При отправке событий из KATA в KUMA есть известная проблема: KATA отправляет сообщение о TAA-сработке только при первой сработке на хосте, а само Syslog сообщение не содержит достаточной информации. События из телеметрии KEDR в свою очередь не содержат идентификатора алерта в KATA в связи с чем отсутствует возможность создания ссылки на карточку алерта в KATA. В этой статье представлен вариант решения этой проблемы, который позволяет создавать алерт в KUMA идентичный TAA-алерту в KATA, со всеми связанными событиями телеметрии. --- ### Требования Для работы метода требуется установленная KUMA версии 2.1 или выше, а также KATA версии 5.0 или выше. На KUMA должна быть настроены коллекторы для приема Syslog сообщений от [KATA](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/kata) **И** телеметрии от [KEDR](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/kedr-51-telemetriia-edr-po-api). Информацию по настройке данных источников можно найти в соответствующих статьях (ссылки приведены для последних версий). Оба коллектора должны отправлять события в коррелятор. --- ### Реализация 1\. Загрузить пакет ресурсов по ссылке: [https://github.com/KUMA-Community/kuma\_taa\_alert](https://github.com/KUMA-Community/kuma_taa_alert) 2\. Импортировать все ресурсы из пакета в KUMA. 3\. Перейти в Коррелятор, перейти на шаг Корреляция и привязать правила корреляции D007 и D008  4\. Перейти на шаг Проверка параметров и обновить параметры сервиса коррелятора  5\. Перейти в веб-интферфейсе в Параметры -> Алерты -> Сегментация и нажать Добавить параметры для нового тенанта (если в KUMA не настроены никакие правила сегментации), либо нажать на соответствующий тенант в списке (если в KUMA уже настроены какие-либо правила сегментации).  6\. Создайте связь правила корреляции и правила сегментации как на рисунке ниже:  7\. Сохраните все внесенные изменения. На этом настройка завершена. --- ### Результат В результате проделанных манипуляций в KUMA на каждую TAA сработку будет возводиться алерт, в который согласно правилу сегментации будут добавляться все события телеметрии связанные с данной сработкой. Сам алерт будет содержать ID алерта KATA, ссылку на алерт KATA (для этого необходимо на коллекторе для сбора Syslog с KATA добавить обогащение **\[OOTB\] KATA alert**), а также связанные события телеметрии от KEDR. Ниже представлен скриншот алерта в KUMA  А также соответствующий алерт в KATA  И связанные с ним события телеметрии  --- # Ретроспективная проверка IoC с помощью KUMA и CyberTrace ### ВведениеОписанный ниже сценарий применим для версии **CyberTrace 4.4** и выше. Ресурсы, поставляемые для данного сценария в **KUMA** применимы к версии **3.2** и выше, но могут быть сделаны аналогичные для версий **2.1+**.
В данном сценарии рассматривается автоматизация ретроспективной проверки по IoC с использованием интеграции KUMA и CyberTrace. Сценарий позволяет: 1\. По расписанию выполнять ретроспективную проверку на стороне CyberTrace 2\. Получать событие в KUMA по результатам ретроспективной проверки 3\. Создавать коррреляционное событие и алерт на основании такого события, а также добавлять в корреляционное событие кликабельную ссылку на исходное событие, на которое сработал ретроскан. --- ### Настройка CyberTrace Подключитесь к CyberTrace от имени пользователя с правами администратора. #### Настройка получения и отправки событий Перейдите в раздел **Settings** - **General.** В графе **Incoming events** выберите **IP address and port**, в поле **IP address** укажие адрес CyberTrace, на котором он будет принимать индикаторы от KUMA (запись **0.0.0.0** означает, что CyberTrace будет принимать соединения на всех адресах), а в поле **Port** задайте порт, на котором CyberTrace будет принимать индикаторы. В графе **Detection alerts** в поле **IP address** укажите адрес коллектора KUMA, а в графе **Port** - порт коллектора KUMA. По завершении настройки нажмите кнопку **Save** внизу экрана.  --- #### Настройка ретроспективной проверки Перейдите в раздел **Settings - Restroscan** Включите ретроскан ползунком **Enabled**. На вкладка **General settings** задайте необходимые настройки регулярности ретроспективной проверки и другие параметры.  Находясь в том же разделе, перейдите на вкладку **Feeds** и включите необходимые фиды для ретроспективной проверки.  Находясь в том же разделе, перейдите на вкладку **Regular expressions** и выберите **RE\_CONTEXT** (обязательно в данном сценарии), а также те индикаторы, по которым планируется ретроспективная проверка.  По окончании настройки нажмите кнопку **Save**. --- #### Настройка формата событий Перейдите в раздел **Settings - Detection alerts** Заполните **Alert format**, как показано в примере. ``` Category=%Category%|MatchedIndicator=%MatchedIndicator%%RecordContext%|KUMA_event_id=%RE_CONTEXT%|KUMA_event_date=%EventReceivedDate%|outcome=%Retroscan% ```  Выберите вверху **Context** и заполните **Actionable fields**, как в примере ниже. ``` "%ParamName%":"%ParamValue%" ```  Пролистайте в самый низ страницы и нажмите кнопку **Save**. Настройки для **Service alerts** можете оставить по умолчанию или изменить по своему усмотрению. В данном сценарии рассматривается и требуется взаимодействие только с **Detection alerts**. --- ### Настройка KUMA 1\. Скачайте набор ресурсов (нормализатор и правило корреляции) по [**ссылке**](https://github.com/koalapower/ioc_retroscan) и импортируйте в KUMA. #### Настройка обогащения**Важно!** Обогащение должно выполняться именно методом **cybertrace**. Метод **cybertarce-http** не применим в данном случае, т.к. в CyberTrace до 5.0 версии включительно обогащение по API не доступно для ретроспективной проверки и отображения в детектах.
1\. Настройте обогащение на коллекторах, где это требуется по инструкции из соответствующего [**раздела**](https://kb.kuma-community.ru/books/integracii/page/integraciia-cybertrace-s-kuma#bkmrk-%D0%9E%D0%B1%D0%BE%D0%B3%D0%B0%D1%89%D0%B5%D0%BD%D0%B8%D0%B5-cybertrac-1). --- #### Настройка коллектора 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне **CyberTrace**.  2\. На шаге **Парсинг** событий выберите нормализатор **\[DEMO\] CyberTrace**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- Настройка корреляции 1\. Откройте на редактирование правило корреляции **D016;CyberTrace;IoC Matched By Retroscan** (или **D016;CyberTrace;Обнаружение IoC в ходе ретроспективной проверки**) 2\. Перейдите в Селекторы - Локальные переменные 3\. Отредактируйте значение переменной **core** подставив свой FQDN или IP-адрес ядраВажно! FQDN для данного сценария не должен превышать 18 символов! В случае более длинного FQDN следует использовать IP-адрес.
Пояснение ограничения
Ссылка на событие KUMA (переменная **url**), которая будет помещена в корреляционное событие, находится в поле **DeviceExternalID**. Максимальная длина данных в этом поле **255** символов. Пустой запрос без FQDN содержит **237** символов, что дает возможность указать FQDN меньше или равным **18** символам. При необходимости, можно изменить мапинг ссылки на событие на другое поле, например, Message. Но в таком случае ссылка будет "не кликабельная" и нужно будет копировать ее из события и вставлять в строку браузера.Информация, приведённая на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
# Интеграция с Kaspersky MDR ## Описание интеграции Интеграция с Kaspersky Managed Detection and Response позволяет автоматически импортировать инциденты из консоли MDR в KUMA. Скрипт периодически опрашивает API MDR, получает новые инциденты и создаёт соответствующие инциденты в KUMA через API. --- ## Предварительные требования ### 1. Сетевой доступ На пограничном межсетевом экране создайте правило, разрешающее доступ к **mdr.kaspersky.com** по порту **TCP/443**. ### 2. Настройка пользователя и токена в KUMA В KUMA добавьте пользователя с ролью **Младший аналитик**, сгенерируйте токен для взаимодействия по API и разрешите доступ к следующим методам API: - `POST /events` - `POST /incidents/create` - `POST /incidents/comment` - `POST /incidents/close` ### 3. Генерация токена в консоли MDR 1. Перейдите в **Параметры → API**. 2. Нажмите **Добавить** и укажите **Имя соединения**.Это имя будет отображаться как имя пользователя при создании инцидентов, комментариев и вложений, поскольку токен доступа не привязан к конкретному пользователю.
4. В поле **Роль пользователя** выберите роль **Администратор MDR**. 5. В поле **Тенант** выберите тенант, инциденты которого необходимо импортировать в KUMA.Если для инцидентов, создаваемых в консоли MDR, в поле Тенант отсутствует значение — укажите в поле Тенант значение «Корневой тенант», иначе скрипт не обнаружит эти инциденты.
6. Нажмите **Создать**. В результате вы получите: - **JWT Token** (он же `refresh_token`) — это первичный токен со сроком действия 24 часа. Данный токен требуется активировать, чтобы получить новую пару `refresh_token` / `access_token`. - **ClientID** — идентификатор клиента, который необходимо указывать при каждом запросе к API MDR. Сохраните оба значения — они потребуются на этапе настройки. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-03/image-1774360741536.png)
**tenant_id можно получить из события аудита KUMA.
Для тестирования укажите время, незадолго до появления последнего инцидента в MDR.
### Шаг 5. Обновление сертификата Замените файл сертификата по умолчанию на актуальный, подготовленный в разделе **Предварительные требования**: ```bash cp /path/to/mdr.pem /opt/mdr_integration/conf/mdr.pem ``` ### Шаг 6. Создание папки data Создайте папку **data**: ```bash mkdir /opt/mdr_integration/data ``` В папку **data** в отдельный JSON-файл записывается каждое обновление (новый инцидент, комментарий, вложение) на MDR-портале. ### Шаг 7. Проверка работоспособности Перейдите в папку со скриптом и запустите его: ```bash cd /opt/mdr_integration python3 ./main.py ``` Если при запуске скрипта в консоли отсутствую ошибки (кроме предупреждений о невалидном сертификате), значит интеграция работает корректно. Лог работы скрипта записывается в: ``` /opt/mdr_integration/log/app.log ``` Убедитесь, что инциденты из консоли MDR, созданные начиная с момента, указанного в `.last_check`, появились в KUMA. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-03/image-1774367517939.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-03/image-1774367489591.png) После проверки остановите скрипт (`Ctrl+C`). ### Шаг 7. Запуск в фоновом режиме Запустите скрипт в фоне: ```bash nohup python3 /opt/mdr_integration/main.py & ``` ### Шаг 8. Автозапуск после перезагрузки Настройте автоматический запуск скрипта через cron: ```bash sudo crontab -e ``` Добавьте строку: ``` @reboot sleep 300 && python3 /opt/mdr_integration/main.py & ```Задержка sleep 300 (5 минут) необходима, чтобы сервис kuma-core успел запуститься до начала работы скрипта.
# Интеграция с ГосСОПКАИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/3.2/ru-RU/221777.htm](https://support.kaspersky.com/KUMA/3.2/ru-RU/221777.htm)
### Настройка интерации Для возможности отправки инцидентов в ГосСОПКА должна быть выполнена настройка, в разделе **Параметры - НКЦКИ** нужно указать параметры подключения: - Укажите URL, по которому доступен НКЦКИ. - Токен, который был выдан Заказчику для подключения к НКЦКИ. Далее укажите сферу деятельности, местоположение и название компании. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Bvvimage.png) Значение токена сохраняется в Секркте в KUMA: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/U8Dimage.png) ### Работа с инцидентом После настройки взаимодействие с НКЦКИ и работа с инцидентом выполняется в разделе **Инциденты**. Для нового инцидента должны быть заполнены минимально **необходимые поля**: - категория инцидента; - тип инцидента; - описание инцидента. Описание взаимодействия с НКЦКИ в онлайн-справке: [https://support.kaspersky.com/KUMA/2.1/ru-RU/221855.htm](https://support.kaspersky.com/KUMA/2.1/ru-RU/221855.htm) [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/FmWimage.png) После нажатия кнопки **Экспорт** открывается вкладка для заполнения карточки инцидента в формате, который требует НКЦКИ. При необходимости может быть выбран чек-бокс «Затронутая система имеет подключение к Интернету», это подразумевает заполнение дополнительных сведений на вкладке Технические данные. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/K2aimage.png) Вкладки Технические данные и Дополнительно не обязательно заполнять для запуска экспорта, но информация будет запрошена со стороны ГосСОПКА позже. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/PTiimage.png) Вся информация отображается в ЛК Заказчика. При этом в связи с особенностями работы портала перейти из интерфейса KUMA сразу в нужный инцидент в ГосСОПКА нельзя, придется искать в списке всех инцидентов. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/obiimage.png) В интерфейсе KUMA можно отслеживать статус инцидента и изменения содержимого (если изменения были выполнены на портале, а не из KUMA). [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Lq0image.png) При получении обратной связи статус инцидента изменяется, при необходимости инцидент можно дополнить данными Есть чат с НКЦКИ (не онлайн, примерно раз в 10 минут – особенности на стороне НКЦКИ). [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/7Qsimage.png) Есть возможность оповещений по почте о необходимости доработки инцидента. [](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/iC5image.png) # Монтирование папки в KUMAС версии KUMA 3.2 агент для Windows имеет возможность читать логи из файлов на ОС Windows. Таким образом, для некоторых случаев целесообразно использовать агентов для чтения логов локально без монтирования директорий. Для сетевой шары используйте unc-путь вида: `//server_ip_name/share`
Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи, например, DHCP сервера на сервер коллектора KUMA. Для начала необходимо установить утилиту **cifs**, если она еще не установлена. ``` yum install -y cifs-utils ``` Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке **/root/.dhcp-secret** со следующим содержимым: ```bash username=<имя пользователя с правами на чтение папки> password=<пароль пользователя> domain=<домен, в случае доменного пользователя> ``` Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера. ```bash mkdir /mnt/dhcp ``` Далее в конец файла /etc/fstab необходимо добавить строку ```bash \\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными>,cache=none 0 0 Пример: \\dc-01.sales.lab\dhcp /mnt/dhcp cifs credentials=/root/.dhcp-secret,cache=none 0 0 ``` Далее необходимо примонтировать общую папку командой: ```bash mount -a ``` Для проверки успешности монтирования можно выполнить следующую команду: ```bash ls /mnt/dhcp ``` В выводе консоли должны присутствовать файлы логов DHCP сервера с правами на чтение для всех пользователей [](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yr9image.png) Далее создание файлового коллектора и создание службы в KUMA аналогии с [**этой** ](https://kb.kuma-community.ru/link/26#bkmrk-%D0%A1%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-%D0%BA%D0%BE%D0%BB%D0%BB%D0%B5%D0%BA%D1%82%D0%BE%D1%80%D0%B0-)статьей. # Интеграция Grafana c событиями в KUMAИнтеграция является не официальной (не поддерживается)
### Подключение по API KUMA Для возможности обращения в KUMA предварительно необходимо создать пользователя с необходимыми правами (на этом же этапе задаём необходимую роль\\тенанты), переходим в KUMA – Access – Выбираем доменного пользователя, либо создаём локального. Выбрать пользователя и переходим к Using KUMA via API, нажимаем Generate token и задаём время действия токена (в примере выбираем No expiration date).  Выбрать права для токена, затем нажать Generate:  Система выдаст токен которым мы воспользуемся при создании Data source в Grafana.  Переходим в Grafana. Устанавливаем плагин Infinity:  Переходим в Data sources и создаём новый. Ищем Infinity и создаём в формате как указано на скриншоте. Задаём ключевые параметры – адрес, токен (созданный на этапе 1).  В Network выбираем "Skip TLS Verify":  Нажимаем Save & test, в случае успешного подключения получаем уведомление.  #### Дашборды и визуализация Рассмотрим два примера дашбордов. 1-й с задаваемым уникальным запросом, 2-й со статичным запросом для построения дашбордов и вывода статистики. Создаём дашборд Home – Dashboard – New – New Dashboard. И переходим в Dashboard Settings.  Далее Settings – Variables, мы задаём глобальную переменную на уровне дашборда.  И задаём следующие параметры:  Нажимаем "Apply". Окно для запроса появится в верхнем левом углу с дефолтным значением (его можно не задавать). #### Делаем базовый шаблон Создаём панель и переходим ниже в раздел Query, выбираем Data source – Infinity. далее URL options и задаём Body Type (как на скриншоте):  Берём пример с API и модифицируем под нашу задачу: ```json { "period": { "from": "2025-09-06T00:00:00Z", "to": "2025-09-06T00:10:00Z" }, "emptyFields": true, "rawTimestamps": true, "sql": "SELECT count(Timestamp) as TotalEvents FROM events LIMIT 1" } ``` Нам нужно забирать время с дашборда Grafana и запрос берем также с переменной: ```json { "period": { "from": "${__from:date:iso}", "to": "${__to:date:iso}" }, "emptyFields": true, "rawTimestamps": true, "sql": "${sqlQuery:raw}" } ``` Сохраняем – проверяем:  Далее создадим более дашборд с вшитым запросом. Допустим это будет статистика неуспешных авторизаций. В теле будет: ```json { "period": { "from": "${__from:date:iso}", "to": "${__to:date:iso}" }, "emptyFields": true, "rawTimestamps": true, "sql": "SELECT count(ID) AS `Количество обращений`, DestinationAddress, DestinationCountry AS `Страна` FROM `events` WHERE EventOutcome = 'failed' AND DeviceEventClassID = 'USER_AUTH' GROUP BY DestinationAddress, DestinationCountry ORDER BY count(ID) DESC LIMIT 250" } ``` И вывод:  ### Метод подключения напрямую в ClickHouseНе проверялось на версиях KUMA 4+
Скачиваем и устанавливаем плагин: [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/PqDimage.png) Далее настраиваем в Connections (в старых версиях: Home - Administration - **Data sources)** по этому плагину: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/7nkimage.png) Предварительно проверьте доступ к порту 8123, если доступа нет, обеспечьте его, например, проборосом портов.URL: https://10.68.85.126:8123?allowMultiQueries=true (можете также указать хостнейм, в случае иcпользования **плагина Altinity**)
Копируем содержимое ключевой информации в нужные секции: [](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eArimage.png)Они берутся из хранилища по путям:
для версий KUMA до 4
- /opt/kaspersky/kuma/clickhouse/certificates/cert.pem - /opt/kaspersky/kuma/clickhouse/certificates/key.pemдля версий KUMA 4+
- /opt/kaspersky/kuma/storage/<ID хранилища>/certificates/internal.cert - /opt/kaspersky/kuma/storage/<ID хранилища>/certificates/internal.keyЗатем внизу нажимаем на кнопку **Save & Test**.
При корректности настроек и сетевых доступов должны получить следующее:
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/PBFimage.png)
Создаем дашборд со своими панелями (виджетами), пример:
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/bUHimage.png)
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/1wjimage.png)
Пример запроса:
```sql
SELECT count(ID), DestinationUserName FROM kuma.events_local_v2 WHERE $__timeFilter_ms(Timestamp) AND DeviceEventClassID='4624'GROUP BY DestinationUserName
```
Переменная **$\_\_timeFilter\_ms(Timestamp)** обеспечивает проброс промежутка времени из графаны в запрос:
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/c7simage.png)
Чтобы поменять тип отображения можно выбрать другое представление тут:
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/lDeimage.png)
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/mJVimage.png)
[](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/l6cimage.png)
Сохраняем и применяем панель/представление, далее подобным образом можно создать другие панели.
# Интеграция Grafana c VictoriaMetrics (Prometheus) в KUMA
Интеграция является не официальной (не поддерживается)
Интеграция возможна для версий KUMA **до 4.0**
Для начала нам понадобится сетевой доступ к локальной Victoria Metrics, находящейся на Core. Для этого понадобится простой reverse-proxy (есть также и другие способы), в нашем случае мы будем слушать порт 1777, пример конфига для nginx: ```nginx server { listen 1777; server_name victoriametrics.kuma.local; location / { proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $remote_addr; proxy_set_header Host $host; proxy_pass http://127.0.0.1:9090; } } ``` И рестартуем nginx. Далее идём в нашу Grafana и добавляем соединение Prometheus (как на скриншоте): [](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/image.png) Заполняем основные поля Name и URL и сохраняем: [](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/XSUimage.png) Основная часть интеграции готова, теперь при построении дашборда мы можем использовать метрики KUMA, пример на скриншоте. [](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/wTLimage.png) # AI Скоринг активовИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/3.4/ru-RU/292784.htm](https://support.kaspersky.com/help/KUMA/3.4/ru-RU/292784.htm)
### Описание AI-сервис позволяет уточнить критичность корреляционных событий, сгенерированных в результате срабатывания правил корреляции. AI-сервис получает из доступных кластеров хранения корреляционные события, содержащие непустое поле Affected assets, выстраивает ожидаемую последовательность событий и обучает модель AI. На основании цепочки срабатываний корреляционных правил AI-сервис высчитывает, является ли такая последовательность срабатываний характерной в этой инфраструктуре. Нехарактерные паттерны повышают рейтинг актива.  По результатам расчетов AI-сервиса в карточке активов становится доступным для просмотра Рейтинг AI и Статус. Рейтинг – это число, которое отражает степень нетипичной активности на активе, на которую стоит обратить внимание. Доступные значения поля Статус: Low, Medium, High, Critical.  После каждого перезапуска AI-сервиса, AI-сервис заново обучает модель и выполняет переоценку рейтинга активов, указанных в событиях за сегодня. Активы со скорингом выглядят следующим образом:  В директории, указанной в конфигурационном файле, хранятся события, которые AI-сервис получил из кластеров хранения KUMA за указанное количество дней. Например, если в конфигурационном файле указано 12 дней (period\_for\_train\_days), AI-сервис будет получать события за последние 12 дней. Самые давние события удаляются из директории. В этой же директории будет храниться обученная модель. Переобучение модели происходит в полночь по UTC. Переоценка рейтинга активов происходит раз в час для всех активов, которые были в событиях за сегодня по UTC. Если лицензию удалить, поля Рейтинг AI и Статус будут скрыты из карточки актива. Если лицензию снова добавить, значения полей Рейтинг AI и Статус снова будут отображаться. Журналы сервиса хранятся в /var/log/syslog. ### Необходимые мощности 4 vCPU, 12 GB RAM, 100 GB HDD ### Установка 1. Скачайте архив: [**ссылка**](https://box.kaspersky.com/d/f26ee34f11cd45b79eeb/). Архив содержит скрипты для установки и удаления сервиса, а также конфигурационный файл `config.yaml`. 2. В конфигурационном файле `config.yaml` укажите порт, по которому хост Ядра будет ожидать подключения от AI-сервиса. Например, в установке в отказоустойчивой конфигурации должен быть указан порт 7226. Для остальных параметров можно оставить значения по умолчанию. 3. В веб-интерфейсе KUMA скачайте **AI service certificate (в меню пользователя) и поместите его в *roles/mlservice/files* 4. Перейдите в директорию с файлами сервиса и из этой папки выполните команду: `bash ./install <путь к ИНВЕНТОРИ.yaml>` 5. По умолчанию сервис устанавливается на хост с Ядром. Если вы хотите установить сервис на другой хост, укажите в конфигурационном файле `По умолчанию уровень важности алерта определяется сработавшим правилом корреляции.
Благодаря скорингу активов выполняется автоматическая приоритизация: алерты, связанные с активами с повышенным уровнем нетипичной активности, получают более высокий уровень важности и должны обрабатываться аналитиками в приоритетном порядке. Помимо этого аналитики получают дополнительный контекст при расследовании алерта/инцидента, принимая во внимание текущий уровень нетипичной активности на активе. Чтобы настроить проактивную категоризацию: - Перейдите в раздел **Активы** веб-интерфейса KUMA. - Выберите категорию **Main**/**Categorized assets** и нажмите **Добавить подкатегорию**. - В окне **Добавить категорию** укажите: - В поле **Название** введите название категории - **AI-Cтатус**. - В поле **Родительская категория** укажите место категории в дереве категорий - **Categorized assets**. - В поле **Тенант** отображается тенант, в структуре которого вы выбрали родительскую категорию. - В раскрывающемся списке **Способ категоризации** выберите **Вручную**. - Назначьте уровень важности категории в раскрывающемся списке **Уровень важности** выберите **Низкий**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/3VBimage.png) - Далее выберите созданную категорию выберите категорию **AI-Cтатус** и нажмите **Добавить подкатегорию**. - Создайте подкатегорию Critical с параметрами, как на скриншоте ниже. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/98Timage.png) - - Повторите операцию для подкатегорий High, Medium и Low. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/pbmimage.png) - [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/XXTimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/M7mimage.png) - - После создания категорий убедитесь, что в них присутствуют активы с соответствующим AI-статусом. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/XxKimage.png) ##### Пример алерта без использовании скоринга активов и активной категоризации - Итоговый уровень важности алерта **Средний** и равен уровню важности сработавшего правила корреляции. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/pAUimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/kHIimage.png) ##### Пример алерта с использованием скоринга активов и активной категоризацией - Итоговый уровень важности алерта **Высокий**, так как с алертом связан актив **PC-5**, на котором зафиксирован критический уровень нетипичной активности и который автоматически определен в категорию **AI-Статус/Critical** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/vEbimage.png) - При этом сработавшее правило корреляции с уровнем важности **Средний,** но за счет критического уровня важности категории актива алерт получил более высокий приоритет. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/w84image.png) --- ### Use Case 2. Мониторинг уровня нетипичной активности на активах Для отслеживания распределения активов по уровню нетипичной активности в KUMA доступен виджет **Активы по уровню важности**. На круговом графике будет отображаться количество активов с группировкой по AI-Статусу.Виджет **Активы по уровню важности** доступен, если лицензия содержит модуль AI.
[](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/hnjimage.png) Кроме этого можно отслеживать перемещение активов между разными категориями (см. Use Case 1) на основании событий аудита активов KUMA. Для настройки аудита активов: - Перейдите в **Параметры** → **Другое → Активы →** вкладка **Аудит активов**. - Нажмите **Добавить параметры для нового тенанта**. - Выполните настройку параметров аудита активов, как на скриншоте ниже. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/g5jimage.png) Теперь при изменении категории актива, например, при переходе из категории High в Critical будет создано событие аудита активов. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/R9bimage.png) Перемещение активов между категориями можно визуализировать с помощью виджетов. Для этого: - Перейдите в **Панель мониторинга** и нажмите **Создать панель мониторинга**. - Нажмите **Добавить параметры для нового тенанта**. - В окне **Настройки макета** укажите параметры, как на скриншоте ниже, и нажмите **Применить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ydiimage.png) - На новой панели мониторинга добавьте следующие виджеты: - "Коробочный" виджет **Активы по уровню AI важности** (**Добавить виджет** **→ Активы → Активы по уровню AI важности)** - Виджеты (**Добавить виджет** **→ События)** на основе событий: - **Активы с критическим уровнем нетипичной активности** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/xKBimage.png) SQL-запрос ```sql SELECT count(ID) AS `metric`, formatDateTime(toTimeZone(fromUnixTimestamp64Milli(Timestamp), 'Europe/Moscow'), '%d.%m.%Y %H:%m:%S') AS `value` FROM `events` WHERE DeviceCustomString1 = 'Main/Categorized assets/AI-Статус/Critical' AND DeviceAction = 'asset added to category' AND EventOutcome = 'succeeded' AND DeviceEventCategory = 'Audit assets' GROUP BY Timestamp ORDER BY value LIMIT 250 ``` [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/QWDimage.png) - - - **Активы с высоким уровнем нетипичной активности** - - [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/fsVimage.png) - - SQL-запрос: - ```sql SELECT count(ID) AS `metric`, formatDateTime(toTimeZone(fromUnixTimestamp64Milli(Timestamp), 'Europe/Moscow'), '%d.%m.%Y %H:%m:%S') AS `value` FROM `events` WHERE DeviceCustomString1 = 'Main/Categorized assets/AI-Статус/High' AND DeviceAction = 'asset added to category' AND EventOutcome = 'succeeded' AND DeviceEventCategory = 'Audit assets' GROUP BY Timestamp ORDER BY value LIMIT 250 ``` [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/1i8image.png) - - **Активы с средним уровнем нетипичной активности** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/1tzimage.png) SQL-запрос: ```sql SELECT count(ID) AS `metric`, formatDateTime(toTimeZone(fromUnixTimestamp64Milli(Timestamp), 'Europe/Moscow'), '%d.%m.%Y %H:%m:%S') AS `value` FROM `events` WHERE DeviceCustomString1 = 'Main/Categorized assets/AI-Статус/Medium' AND DeviceAction = 'asset added to category' AND EventOutcome = 'succeeded' AND DeviceEventCategory = 'Audit assets' GROUP BY Timestamp ORDER BY value LIMIT 250 ``` [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/kjeimage.png) - - - **Активы с низким уровнем нетипичной активности** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/VLRimage.png) SQL-запрос: ```sql SELECT count(ID) AS `metric`, formatDateTime(toTimeZone(fromUnixTimestamp64Milli(Timestamp), 'Europe/Moscow'), '%d.%m.%Y %H:%m:%S') AS `value` FROM `events` WHERE DeviceCustomString1 = 'Main/Categorized assets/AI-Статус/Low' AND DeviceAction = 'asset added to category' AND EventOutcome = 'succeeded' AND DeviceEventCategory = 'Audit assets' GROUP BY Timestamp ORDER BY value LIMIT 250 ``` [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/oWYimage.png) Виджеты для мониторинга перемещений активов между категорями настроены. При нажатии на дату в легенде виджета будет выполнен переход в раздел **События** для просмотра событий аудита активов и определения какие активы были перемещены в категорию. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/iswimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/68Simage.png) Дополнительно можно настроить аналогичный шаблон отчета и правила корреляции для создания алертов в случае перемещения активов в заданную категорию, например, в категорию Critical. --- ### Use Case 3. Проактивный поиск угроз Для активов с критическим или высоким уровнем нетипичной активности аналитик может вручную исследовать алерты и события с этих активов в поисках признаков вредоносной активности и проработки гипотез. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/jHWimage.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ADaimage.png) При нажатии на **Найти в алертах** будет выполнен переход в раздел **Алерты** и автоматически применен фильтр по активу для отображения только тех алертов, в которых фигурирует выбранный актив. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ROKimage.png) # Работа с KIRA и примеры использования (юзкейсы)Видео по работе KIRA и преимущества - [https://box.kaspersky.com/f/48a6de7a26044d9ea60c/](https://box.kaspersky.com/f/48a6de7a26044d9ea60c/)
Kaspersky Investigation and Response Assistant предоставляет аналитикам инструменты для оперативного декодирования и деобфускации строк выполнения, извлечённых из событий безопасности в режиме реального времени. Данное решение оптимизирует процесс приоритизации инцидентов, сокращая время на анализ сложных данных, и снижает квалификационные требования для аналитиков первого уровня, что повышает общую эффективность системы реагирования на инциденты. Ключевые преимущества: - Ускорение цикла принятия решений; - Снижение зависимости от высокой экспертизы сотрудников; - Повышение точности ранжирования алертов. --- ### Как пользоваться Перейдите из сработки алерта во все его события по кнопке **Найти в событиях**  Далее, либо в корреляционном событии, либо в базовом на интеремующем поле нажать на "три точки" и затем проанализировать:  Возможность редактирования запроса перед отправкой в KIRA обеспечивает дополнительный уровень контроля над конфиденциальностью данных. Это особенно важно в случаях, когда анализируемые строки кода содержат чувствительную информацию, такую как персональные данные, учетные записи или ключи доступа.  По кнопке **Действия** можно посмотреть отчет о деобфускации:  --- ### Примеры командКоманды не рабочие все ссылки заменены, но это не отменяет перепроверку и аккуратность использования
ссылка на примеры - [https://github.com/KUMA-Community/kuma\_content/blob/main/kira/usecases.md](https://github.com/KUMA-Community/kuma_content/blob/main/kira/usecases.md) # Обогащение телеметрии KEDR 7.1 ссылкой на алертСкорее всего есть нюансы с распределенными инсталляциями KATA/KEDR. Не проверялось.
Правило работает аналогично правилу обогащения \[OOTB\] KATA alert. - Правило: [правило обогащения телеметрии KEDR.kuma](https://kb.kuma-community.ru/attachments/4) - Пароль на ресурс: `q123123Q!KLaapt-M4` 1\. Добавить правило обогащения на коллектор, который собирает телеметрию KEDR.  2\. Найти интересующее событие в KUMA  3\. Перейти по ссылке в KATA/KEDR  # Интеграция с Kaspersky Threat Intelligence PortalИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Статья онлайн-справки «Интеграция с Kaspersky Threat Intelligence Portal»: [https://support.kaspersky.ru/kuma/4.0/217925](https://support.kaspersky.ru/kuma/4.0/217925?page=help)
Портал **Kaspersky Threat Intelligence Portal** объединяет все знания Лаборатории Касперского о киберугрозах и их взаимосвязи в единую веб-службу. При интеграции с KUMA портал помогает пользователям KUMA быстрее принимать решения, предоставляя им данные о веб-адресах, доменах, IP-адресах, данных WHOIS / DNS. В рамках базовой лицензии KUMA предоставляется доступ к Threat Intelligence Portal. Лицензия KUMA включает в себя возможность сделать до 100 запросов в **Kaspersky Threat Lookup** и до 10 запросов в **Kaspersky Threat Analysis** в период действия лицензии для получения дополнительного контекста в ходе проведения расследований. Чтобы активировать эту функцию, получить дополнительные инструкции и сертификат отправьте запрос с указанием номера заказа на адрес **Из соображений безопасности после сохранения секрета строки, указанные в полях **Пользователь**, **Пароль** и **Пароль для PFX-файла** скрываются
--- ### Создание подключения к Kaspersky Threat Lookup Предварительно выполните вход на портал Kaspersky Threat Intelligence Portal ([https://tip.kaspersky.com/](https://tip.kaspersky.com/)), введите данные учетной записи, указанной в ранее созданном секрете, и примите **Условия использования**. Чтобы создать подключение к Kaspersky Threat Lookup: - Перейдите в раздел **Параметры** → **Интеграции** → **Kaspersky Threat Lookup** в веб-интерфейсе KUMA. - Убедитесь, что параметр **Состояние** активен. - В раскрывающемся списке **Секрет** выберите секрет, который вы создали ранее. - При необходимости в раскрывающемся списке **Прокси-сервер** выберите прокси-сервер. - Ознакомьтесь и примите соглашение о лицензии (OSINT) - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/zkDimage.png) Процесс интеграции KUMA с **Kaspersky Threat Intelligence Portal** завершен. После интеграции Kaspersky Threat Intelligence Portal и KUMA в области деталей события появится возможность запрашивать сведения о хостах, доменах, URL-адресах, IP-адресах и хешах файлов (MD5, SHA1, SHA256). --- ### Запрос данных от Kaspersky Threat Intelligence Portal Чтобы запросить данные от Kaspersky Threat Intelligence Portal: - Перейдите в раздел **События**, выберите одно из событий в таблице событий. - В появившемся окне **Информация о событии** нажмите ссылку на домене, URL, IP-адресе или хеш-сумме файла и выберите **Показать информацию из Threat Lookup**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image343.png) - В окне **Подробнее** нажмите **Обогатить данные Kaspersky TIP**. - В окне **Обогащение Threat Lookup выберите группы данных для запроса и нажмите **Запрос**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image344.png) Будет создана задача Threat Lookup. После ее завершения события дополнятся данными из Kaspersky Threat Intelligence Portal. Чтобы просмотреть полученные данные из Kaspersky Threat Intelligence Portal: - В разделе **События** в окне **Информация о событии** нажмите ссылку на домене, URL, IP-адресе или хеш-сумме файла, для которого вы ранее запрашивали данные от Kaspersky Threat Intelligence Portal, и выберите **Показать информацию из Threat Lookup.** - В правой части экрана откроется область деталей с данными из Kaspersky Threat Intelligence Portal с указанием времени последнего обновления этих данных. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image345.png) Информация, полученная от Kaspersky Threat Intelligence Portal, кешируется. Если нажать на домен, веб-адрес, IP-адрес или хеш-файла в области деталей события, для которого у KUMA уже есть доступная информация, вместо окна **Обогащение Threat Lookup** отобразятся данные из Kaspersky Threat Intelligence Portal с указанием времени их получения. Эти данные можно обновить. Также информацию, полученную от Kaspersky Threat Intelligence Portal, можно посмотреть в **Диспетчере задач**. Для этого перейдите в **Диспетчер задач** выберите задачу **Threat Lookup** и нажмите **Показать результат**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image346.png) # Сценарии использования CyberTrace**CyberTrace** - платформа для управления данными о киберугрозах В статье описаны основные два сценария использования: 1. **Поиск IoC**: интеграции по TCP/API, а также ретроскан 2. **TIP**: получение, распространение IoC и графы расследования
### 1. Поиск IoC #### 1.1 События от SIEM ##### 1.1.1 KUMA (TCP / API) KUMA нативно интегрируется с CyberTrace. На стороне KUMA настраивается правило обогащения: - `cybertrace` -- события отправляются по TCP/9999 (при необходимости порт переопределяется) - `cybertrace-http` -- события отправляются по HTTP/443 (**рекомендуемый способ**) Схема взаимодействия: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/3Rpimage.png) Пример обогащения: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/Fasimage.png) ##### 1.1.2 Другие SIEM [Список](https://support.kaspersky.com/CyberTrace/5.3/en-US/162509.htm) поддерживаемых SIEM: Схема взаимодействия: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/DXmimage.png) Пример интеграции: - На стороне SIEM настраивается форвардинг событий на TCP/9999 (при необходимости порт переопределяется) - На стороне CyberTrace выбирается SIEM/настраиваются регулярки - На стороне CyberTrace определяется формат отправки сообщения и address:port назначения - На стороне SIEM производится дальнейшая обработка события #### 1.2 Другие события отправленные по TCP В CyberTrace не лицензируется поток EPS, поэтому, если какой-то источник флудит событиями, то возможен сценарий, когда CyberTrace обрабатывает поток, а сработки отправляет сработки в SIEM Схема взаимодействия: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/ppSimage.png) К минусам такого подхода можно отнести необходимость писать регулярные выражения под кастомный источник. Но часть этих выражений уже описаны в [справке](https://support.kaspersky.com/CyberTrace/5.3/en-US/171633.htm) #### 1.3 Ретроскан [Пример](https://kb.kuma-community.ru/books/integracii/page/retrospektivnaia-proverka-ioc-s-pomoshhiu-kuma-i-cybertrace) использования ретроскана в сочетании с KUMA Ретроскан помогает выявить IoC, которые на момент получения события не считались вредоносными, но спустя n-время были добавлены в фиды. После обновления фидов CyberTrace повторно проверяет сохраненные события и обнаруживает такие совпадения CyberTrace может хранить события либо в течение заданного количества дней, либо до достижения заданного объема дискового пространства ### 2. TIP #### 2.1 Получение IoC Способ получения: - Файловая система - HTTP/HTTPS - Электронная почта (IMAP/POP3) Формат получения IoC: - CSV - JSON - STIX (1.x, 2.0, 2.1) - XML - PDF - MISP Если сторонний поставщик предоставляет фиды через TAXII, то CyberTrace считается совместимым с ними #### 2.2 Распространение IoC Также можно рассмотреть CyberTrace, как поставщика фидов в сторонние решения ##### 2.2.1 Коробочный функционал Из коробки поддерживаются следующие форматы экспорта: - Универсальный экспорт в CSV - Check Point NGFW - Cisco Firewall Management Center - FortiGate NGFW - Palo Alto NGFW - Sophos NGFW - Security Code NGFW (Код Безопасности) - UserGate NGFW - Broadcom (Symantec) ProxySG ##### 2.2.2 Утилиты Также с помощью утилит возможно экспортировать фиды в другие СЗИ по API. Они реализованы для: - Категорий KSC - PT NAD - PT WAF - PT SB Данные утилиты предоставляются по запросу #### 2.3 IoC Pivoting ##### 2.3.1 Граф расследования Графы расследования визуализируют информацию об IoC и их взаимосвязях. Для получения расширенной информации по IoC CyberTrace интегрируется с: - Kaspersky TIP - VirusTotal Описание трансформаций, которые [поддерживаются](https://support.kaspersky.com/CyberTrace/5.3/en-US/222398.htm) в CyberTrace Пример графа: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/eJJimage.png) ##### ##### 2.3.2 Kaspersky Threat Lookup Позволяет сделать запрос по IoC и автоматически добавить его в фиды CyberTrace. Также по данному IoC предоставляется весь контекст из TIP (File downloaded from web addresses and domains, Similar files и др.) # Настройка обнаружения DLL hijackingИнформация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.ru/kuma/4.2/304384](https://support.kaspersky.ru/kuma/4.2/304384)
Для работы этой функции KUMA требуется: - Лицензия с модулем AI - Доступ по KSN Перехват библиотеки DLL работает во время обогащения событий, поэтому его можно настроить либо на стороне сборщика (базовые события), либо на стороне коррелятора (коррелированные события). Рекомендуется использовать последний метод, поскольку потому что это позволяет эффективно управлять производительностью и нагрузкой на стороны KUMA и KSN **Как это работает с коррелятором:** 1\. На конечной точке настроен Sysmon + KUMA Agent или EDR Expert Agent , который отправляет телеметрию в KUMA 2\. Сборщик успешно нормализует данные (включая хэши, пути к файлам, имена процессов) и пересылает их дальше для хранения и коррелятора 3\. Коррелятор запускает правило корреляции, которое запускает событие корреляции с соответствующими данными, которые могут быть дополнительно обогащены с помощью KSN 4\. KSC проверяет индикаторы и отправляет обратно вердикт, который хранится в поле **KL\_AI\_DLLHijackingCheckResult:** - 0- Не классифицирован. Чтобы получить статус, вам необходимо повторно отправить запрос. - 1 - Неизвестно. На момент получения статуса библиотека не считается вредоносной - 2 - Подозрительно. При получении такого результата выдается предупреждение, если у вас - настроено соответствующее правило корреляции. - 3 - Ошибка. Статус "Неисправен" указывает на более высокую вероятность обнаружения перехвата библиотеки DLL, чем статус "Подозрительно" #### Настройка с помощью Agent EDR 1. Убедитесь, что в SIEM поступает телеметрия KEDR [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/uPYimage.png) 2\. Лицензия KUMA поддерживвет модуль AI  3\. Перейдите в **Ресурсы -> Правила Обогащения -> Создать** Заполните поля: - Название - DLL Hijacking - Тенант - Тип источника данных - проверка DLL Hijacking 4\. В разделе **Сопоставление** в редактировании правила обогащения установите поля событий [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/n5jimage.png) 5\. В разделе **Параметры фильтра** в редактировании правила обогащения выберите коробочный фильтр - **\[OOTB\] Events for DLLHijacking enrichment. Filter for correlator** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/FvGimage.png) 6\. Добавьте созданное правило обогащения на коррелятор для этого перейдите в **Ресурсы -> Корреляторы,** откройте нужный и в параметрах редактирования: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/DkVimage.png) 7\. Создайте правило корреляции **Ресурсы -> Корреляторы -> Корреляция -> в редактировании коррелятора -> Добавить** Заполните параметры в разделе **Общие**: - Название - Тип - Simple - наследуемые поля - FileName - Уровень важности - высокий в разделе **Селекторы**: [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/n8Uimage.png) В разделе **Действия** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/swlimage.png) в разделе **Сервисы** привяжите правило корреляции к коррелятору 8\. Обновите параметры коррелятора через **Ресурсы -> Активные сервисы** 9\. В результате запуска вредоносной библиотеки в системе сформируется алерт, в базовом событии добавиться вердикт о вредоносности [](https://kb.kuma-community.ru/uploads/images/gallery/2026-07/kWRimage.png)