Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.
Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/4.0/ru-RU/217924.htm](https://support.kaspersky.com/help/KUMA/4.0/ru-RU/217924.htm)
Онлайн-справка Kaspersky CyberTrace: [https://support.kaspersky.ru/cyber-trace/5.3](https://support.kaspersky.ru/cyber-trace/5.3)
[Описание CyberTrace ](https://support.kaspersky.ru/datafeeds/about/13850?_ga=2.203307089.1316632250.1728285594-385727687.1689681277)
Обучающие видео по Kaspersky CyberTrace: [https://rutube.ru/plst/1042259/](https://rutube.ru/plst/1042259/)
Ссылка на актуальный дистрибутив CyberTrace: [https://support.kaspersky.com/datafeeds/download/15920#block0](https://support.kaspersky.com/datafeeds/download/15920#block0)
**Kaspersky CyberTrace** — это платформа анализа киберугроз (Threat Intelligence Platform), которая агрегирует индикаторы компрометации из различных источников, в том числе из потоков данных об угрозах Лаборатории Касперского, и поддерживает интеграцию с SIEM-системами для автоматического поиска индикаторов компрометации (IoC) в событиях ИБ. В случае обнаружения IoC в событии ИБ CyberTrace автоматически отправляет в SIEM сообщение об обнаруженном индикаторе, вместе с дополнительной контекстной информацией. Вы можете интегрировать CyberTrace с KUMA одним из следующих способов: - Интегрировать функцию поиска индикаторов компрометации для обогащения событий, полученных от различных источников, информацией потоков данных CyberTrace. - Интегрировать в KUMA веб-интерфейс CyberTrace целиком, чтобы обеспечить полный доступ к веб-интерфейсу CyberTrace.Возможность развертывания и использования CyberTrace с потоками данных об угрозах Лаборатории Касперского доступна при наличии модуля TI KUMA или приобретении отдельной лицензии CyberTrace.
Интеграция KUMA с веб-интерфейсом CyberTrace доступна только для лицензии CyberTrace TIP Enterprise (доступна при наличии модуля TI KUMA или в рамках отдельной лицензии CyberTrace).
--- ### Аппаратные и программые требованияАппаратные и программные требования доступны по ссылке: [https://support.kaspersky.ru/cyber-trace/5.3/162509](https://support.kaspersky.ru/cyber-trace/5.3/162509)
Руководство по выбору аппаратной конфигурации: [https://support.kaspersky.ru/cyber-trace/5.3/270237](https://support.kaspersky.ru/cyber-trace/5.3/270237)
Примеры требований для трех распространенных режимов использования Kaspersky CyberTrace: [https://support.kaspersky.ru/cyber-trace/5.3/270383](https://support.kaspersky.ru/cyber-trace/5.3/270383)
Для загрузки потоков данных об угрозах Лаборатории Касперского CyberTrace требуется доступ до адреса https://wlinfo.kaspersky.com (TCP/443). **Важно**: НЕ должен подменяться сертификат (SSL inspection) на периметре при доступе к ресурсу. Для загрузки других потоков данных об угрозах может потребоваться доступ в зависимости от их размещения.
--- ### Установка CyberTrace в ОС Linux В ОС Linux CyberTrace можно установить двумя способами: - **Установка пакета RPM** При этом типе установки запускается скрипт установки run.sh. Скрипт установки устанавливает пакет RPM и запускает конфигуратор. Конфигуратор генерирует сертификаты для веб-интерфейса Kaspersky CyberTrace и настраивает базу данных индикаторов Elasticsearch. - **Установка пакета DEB** Аналогична установке пакета RPM.Рекомендуется перед установкой CyberTrace установить и запустить антивирусное программное обеспечение, а также настроить [списки исключений](https://support.kaspersky.ru/cyber-trace/5.3/295780) (на примере KES).
В рамках статьи рассматривается пример установки CyberTrace в ОС Ubuntu с использованием DEB-пакета. В результате установки CyberTrace в операционной системе создаются два сервиса: - cybertrace\_db (сервис, связанный с работой базы данных индикаторов) - cybertrace (основной сервис продукта) CyberTrace устанавливается в каталог `/opt/kaspersky/ktfs`.Учетная запись пользователя, выполняющего установку пакета DEB, должна иметь права root.
Чтобы установить пакет DEB Kaspersky CyberTrace, выполните следующие действия: - Распакуйте содержимое комплекта поставки в любой каталог на сервере. В следующей команде замените `%temp_dir%` на этот каталог и `%VERSION%` на версию инсталляционного пакета. ```bash tar -C %temp_dir% -xvzf Kaspersky_CyberTrace-Linux-x86_64-%VERSION%-DEB.tar.gz --no-same-owner ``` Пакет DEB, скрипт установки и документация распаковываются в этот каталог. У архива может быть другое имя, например %SIEM%-deb.tar.gz. Можно использовать имя как есть или переименовать архив командой mv. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/nnWimage.png) - Перейдите в каталог, в который была выполнена распаковка. - Запустите скрипт установки: ```bash ./run.sh install ``` Скрипт установки установит пакет DEB и добавит Kaspersky CyberTrace Service в список сервисов, которые systemd запускает при загрузке системы. Kaspersky CyberTrace Service будет запускаться автоматически при загрузке системы. - После установки пакета DEB скрипт установки автоматически запускает конфигуратор. - В конфигураторе ознакомьтесь и примите Лицензионное соглашение (EULA). - Войдите в веб-интерфейс CyberTrace по адресу `https://Статья онлайн-справки «Установка в ОС Linux»: [https://support.kaspersky.ru/cyber-trace/5.3/165522](https://support.kaspersky.ru/cyber-trace/5.3/165522)
Статья онлайн-справки «Установка в ОС Windows»: [https://support.kaspersky.ru/cyber-trace/5.3/165581](https://support.kaspersky.ru/cyber-trace/5.3/165581)
--- ### Настройка CyberTrace При первом входе в веб-интерфейс CyberTrace после установки появится окно мастера первоначальной настройки (Initial Setup Wizard), в котором: - На шаге мастера **Добро пожаловать в Kaspersky CyberTrace** отображается краткая информация о Kaspersky CyberTrace и о мастере первоначальной настройки. Выберите язык интерфейса и нажмите **Далее**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/IE1image312.png) - На шаге **Настройка прокси-сервера** укажите параметры прокси-сервера для Kaspersky CyberTrace. Шаг является опциональным. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image313.png) - На шаге мастера **Настройка лицензирования** выберите требуемый уровень лицензирования **Kaspersky CyberTrace: Community Edition** или **коммерческую лицензию.** В нашем примере используется коммерческий уровень лицензирования и указывается **Файл ключа**. После выбора этого варианта укажите предоставленный файл ключа для Kaspersky CyberTrace (<имя файла>.key). - На шаге 4 мастера **Настройка сервиса** отключите **Служебные оповещения** и укажите IP-адрес или имя хоста, используемые для подключения к веб-интерфейсу Kaspersky CyberTrace (IP-адрес или имя хоста того сервера, на котором установлен Kaspersky CyberTrace). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image314.png) - На шаге мастера **Настройка управления данными** необходимо выбрать и настроить SIEM-систему для интеграции с Kaspersky CyberTrace. От выбора SIEM-системы зависит формат конфигурационных файлов Kaspersky CyberTrace, поскольку эти файлы адаптируются под конкретную SIEM-систему. - В разделе **SIEM-система** выберите SIEM-систему для интеграции с CyberTrace**.** В нашем примере это будет **KUMA**. - В разделе **Входящие события** задайте параметры сокета, который Kaspersky CyberTrace должен прослушивать в ожидании входящих событий. В нашем примере это будет IP-адрес сервера CyberTrace и порт 9999. - Параметры раздела **Оповещения об обнаружении индикаторов компрометации** оставьте по умолчанию. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image315.png) - На шаге 6 мастера **Настройка сертификата** добавьте сертификат. Сертификат определяет набор потоков данных об угрозах «Лаборатории Касперского», которые можно использовать в Kaspersky CyberTrace. Выберите необходимый тип сертификата: **Демо-сертификат** или **Коммерческий сертификат** и укажите путь к файлу .pem с сертификатом.Для получения коммерческого сертификата обратитесь к сотрудникам Лаборатории Касперского или представителям партнера, который проводит пилотное тестирование.
[](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image316.png) - На шаге мастера 7 **Настройка потоков данных** укажите потоки данных, которые планируется использовать в Kaspersky CyberTrace. Набор доступных потоков данных определяется сертификатом, выбранным на предыдущем шаге мастера. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image317.png) - На шаге 8 **Первоначальная настройка завершена** чтобы завершить работу мастера первоначальной настройки, нажмите кнопку **Готово.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/eyNimage318.png)После завершения первоначальной настройки **рекомендуется** изменить пароль администратора, используемый по умолчанию
--- ### Проверка загрузки индикаторов компрометации Чтобы проверить, что индикаторы компрометации, выбранных потоков данных об угрозах, успешно загружены в CyberTrace: - Выберите Тенант **Система.** - Перейдите в раздел **Задачи** и убедитесь, что задача **Feeds update завершилась со статусом **Выполнено**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image319.png) - Перейдите в раздел **Информационная панель** → виджет **Статистика по потокам индикаторов** и проверьте, что столбец **Индикаторы** для каждого фида (потока данных об угрозах) отличен от 0. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image320.png) - Выберите Тенант **General.** - Перейдите в раздел **Индикаторы** и убедитесь в наличии индикаторов компрометации из выбранных потоков данных угрозах. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image321.png) --- ### Настройка обогащения событий Начиная с версии 3.2 в KUMA доступно 2 варианта интеграции с CyberTrace для потокового обогащения событий данными об индикаторах компрометации: - С использованием API CyberTrace (**рекомендуемый**). - С помощью Kaspersky CyberTrace Service (см. Приложение А). #### Интеграция с использованием API CyberTrace - В веб-интерфейсе CyberTrace создайте новую учетную запись пользователя, которая будет использоваться KUMA для подключения к API CyberTrace. Для этого: - Перейдите в раздел **Settings -> Users** и нажмите **Add new user**. В появившемся окне **New user** укажите следующие параметры: - **Login** - <имя учетной записи пользователя> - **Password** - <пароль учетной записи пользователя> - **Confirm password** - <пароль учетной записи пользователя> - **Role** - Analyst - Нажмите **Add**. - Далее в веб-интерфейсе KUMA создайте секрет для подключения к API CyberTrace: - Перейдите в **Ресурсы ->** **Секреты** и нажмите **Добавить**. В появившемся окне укажите следующие параметры: - **Название** - <название секрета> - **Тенант** - <название тенанта, например, Main> - **Тип** - credentials - **Пользователь** - <Имя пользователя, созданного на предыдущем шаге> - **Пароль** - <Пароль, созданного пользователя на предыдущем шаге> - **Описание (опционально)** [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/GN8image.png) - Создайте правило обогащения в веб-интерфейсе KUMA: - Перейдите в **Ресурсы ->** **Правила обогащения** и нажмите **Добавить**. В появившемся окне укажите следующие параметры: - **Название** - <название правила обогащения> - **Тенант** - <название тенанта, например, Main> - **Исходный тип** - cybertrace-http - **URL -** <IP-адрес/FQDN сервера CyberTrace>:443 - **Секрет -** <секрет, созданный на предыдущем шаге> - **Ключевые поля -** <поля, значения которых будут передаваться в CyberTrace на анализ. Как пример, укажите поля со скриншота ниже>В качестве **ключевых полей** необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие.
- - - **Время ожидания -** 0 - **Максимальное кол-во событий в очереди обогащения** - 1000000 - **Описание (опционально)** - **Параметры фильтра** - <условия срабатывания правила обогащения. В качестве примера, ниже используется набор условий, при котором правило будет срабатывать для событий обращения внутренних IP-адресов к внешним IP-адресам> [](https://kb.kuma-community.ru/uploads/images/gallery/2024-07/eNyimage.png) Пример готового кода для добавления в правило обогащения: ```json SourceAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] AND NOT DestinationAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] ```Укажите поля DestinationHostName | RequestURL и DestinationNtDomain | DestinationDnsDomain, потому что в событии может быть только одно поле из пары. Если есть оба поля, коннектор CyberTrace в KUMA возьмет только уникальное значение и отправит в CyberTrace на анализ
Если объекты (IP, URL, Domain, Hash) расположены в “кастомных” полях, напр., DeviceCustomString1, то можно создать отдельное правило обогащения, в котором в качестве ключевого поля будет указано необходимое "кастомное" поле/поля
- - Нажмите **Создать**. Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов
Создайте новый сервис коллектора, выбрав на шаге **Парсинг событий** нормализатор **\[OOTB\] CEF**. В качестве коннектор укажите тип **TCP**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image325.png) Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор: - Перейдите в раздел **Ресурсы** → **Активные сервисы**. - Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image326.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image327.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image328.png) --- ### Проверка работы обогащения Kaspersky CyberTrace Чтобы проверить корректность работы правила обогащения и интеграции с Kaspersky CyberTrace: - Создайте тестовый коллектор с коннектором типа TCP и нормализатором \[OOTB\] CEF. - В консоли сервера KUMA или консоли другого хоста выполните команду отправки тестового события с вредоносным IP в созданный коллектор (для отправки используется утилита netcat): ```bash ncДля создания алертов и отслеживания обращений к IP-адресам/доменам/URL, информация о которых есть в фидах CyberTrace, необходимо привязать к коррелятору следующие правила корреляции из SOC Package: **R201\_Обнаружено соединение с подозрительным IP-адресом** **R202\_Обнаружено обращение на подозрительный Domain** **R203\_Обнаружено обращение на подозрительный URL**
Количество обнаружений на основе объектов (IP/домены/URL/хеш-суммы файлов), полученных от KUMA, можно просмотреть в виджете **Обзор статистики** CyberTrace. Для этого: - В веб-интерфейсе CyberTrace выберите тенант **General**. - Перейдите в **Информационная панель** и выберите виджет **Обзор статистики.** [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image334.png) Чтобы просмотреть обнаруженные индикаторы компрометации во входящих событиях: - В веб-интерфейсе CyberTrace выберите тенант **General**. - Перейдите в **Обнаружения** и убедитесь в наличии в таблице IP-адреса **192.0.2.3** и URL [**http://a7396d61caffe18a4cffbb3b428c9b60.com**](http://a7396d61caffe18a4cffbb3b428c9b60.com)**.** - Нажав на значение индикатора ознакомьтесь с подробной информацией об обнаружении. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image335.png) --- ### Интеграция интерфейса CyberTrace Вы можете интегрировать веб-интерфейс CyberTrace в веб-интерфейс KUMA. Когда эта интеграция настроена и включена, в веб-интерфейсе KUMA появляется раздел CyberTrace с доступом к веб-интерфейсу CyberTrace. Чтобы интегрировать веб-интерфейс CyberTrace в KUMA: - Перейдите в раздел веб-интерфейса KUMA **Ресурсы → Секреты**. - Нажмите на кнопку **Добавить секрет**, чтобы создать новый секрет. Этот ресурс используется для хранения учетных данных для подключения к серверу CyberTrace. - В появившемся окне **Создание секрета**: - В поле **Название** укажите имя для добавляемого секрета. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Тип** выберите **credentials**. - В полях **Пользователь** и **Пароль** введите учетные данные пользователя с ролью Администратор на сервере CyberTrace (в нашем примере будет использоваться учетная запись по умолчанию **admin**). - При необходимости в поле **Описание** добавьте описание для создаваемого секрета. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image336.png) Учетные данные сервера CyberTrace сохранены и могут использоваться в других ресурсах KUMA. - Перейдите в раздел веб-интерфейс KUMA **Параметры → Интеграции → Kaspersky CyberTrace**. - В окне **Интеграция с Kaspersky CyberTrace** укажите: - **Адрес сервера (обязательно)** – введите IP-адрес или FQDN сервера CyberTrace. - **Порт (обязательно)** – введите порт сервера CyberTrace, порт для доступа к веб-интерфейсу по умолчанию 443. - В раскрывающемся списке **Секрет** выберите секрет, который вы создали ранее. - В секции **Разрешить хосты** укажите IP-адрес (если для доступа к веб-интерфейсу KUMA используется IP-адрес) или FQDN (если для доступа к веб-интерфейсу KUMA используется FQDN) сервера KUMA. - Для параметра **Основная версия CyberTrace** укажите используемую версию CyberTrace - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/Kf5image.png) - Убедитесь, что в панели слева веб-интерфейса KUMA появился раздел **CyberTrace**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image338.png) #### **Обновление списка запрещенных объектов CyberTrace (Internal TI)** После интеграции веб-интерфейса CyberTrace в веб-интерфейс KUMA появляется возможность вручную формировать внутренний BlackList из объектов, которые встречаются в событиях KUMA. Данный BlackList (в терминологии CyberTrace фид «Internal TI») будет хранится в CyberTrace и может быть использован для обогащения событий и поиска индикаторов компрометации по аналогии с коммерческими фидами. Чтобы добавить объект в фид Internal TI CyberTrace: - В веб-интерфейсе KUMA откройте карточку события в таблице событий, окне алертов или окне корреляционного события и нажмите ссылку на домене, веб-адресе, IP-адресе или хеш-сумме файла. - В контекстное меню выберите **Добавить в Internal TI CyberTrace**. Выбранный объект добавлен в список запрещенных объектов в CyberTrace. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image339.png) Чтобы просмотреть перечень объектов, добавленных в фид Internal TI CyberTrace: - В веб-интерфейсе KUMA перейдите в раздел **CyberTrace.** - Далее в разделе **Индикаторы** примените фильтр по **Потокам индикаторов**, выбрав **InternalTI**. Нажав на значение индикатора можно просмотреть сведения об индикаторе и при необходимости добавить дополнительные атрибуты. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image340.png) --- ### Приложение А. Интеграция с помощью Kaspersky CyberTrace Service Чтобы настроить обогащение событий данными об индикаторах компрометации с использованием Kaspersky CyberTrace Service создайте правило обогащения: - В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Правила обогащения**. - Нажмите на кнопку **Добавить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image322.png) - В появившемся окне **Создание правила обогащения**: - В поле **Название** введите уникальное имя правила. - В раскрывающемся списке **Тенант** выберите, к какому тенанту относится этот ресурс. - В раскрывающемся списке **Исходный тип** выберите cybertrace. - Укажите URL или IP-адрес сервера CyberTrace, к которому вы хотите подключиться. - При необходимости укажите в поле **Количество подключений** максимальное количество подключений к серверу CyberTrace, которые может одновременно установить KUMA. Значение по умолчанию равно количеству vCPU сервера, на котором установлен Коллектор KUMA. - В поле **Запросов** **в секунду** введите количество запросов к серверу CyberTrace, которое сможет выполнять KUMA в секунду. Значение по умолчанию: 1000. - В поле **Максимальное кол-во событий в очереди обогащения** введите максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1000000. - В поле **Время ожидания** укажите время в секундах, в течение которого KUMA должна ожидать ответа от сервера CyberTrace. Если ответ получен до истечения времени ожидания, он добавляется в поле события TI, и обработка события продолжается. Значение по умолчанию: 30. - В секции **Сопоставление** требуется указать поля событий, значения которых следует отправить в CyberTrace на проверку, а также задать правила сопоставления полей событий KUMA с типами индикаторов CyberTrace: - В столбце **Поле KUMA** выберите поле, значение которого требуется отправить в CyberTrace (в нашем примере поле **RequestUrl и **DestinationAddress**).В качестве отправляемых полей необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие.
- - - В столбце **Индикатор CyberTrace** выберите тип индикатора CyberTrace для каждого выбранного поля (в нашем примере **url и **ip соответственно): - ip - url - hash - В секции **Параметры фильтра** можно задать условия определения событий, которые будут обрабатываться создаваемым правилом обогащения. Переключитесь на **Код** и укажите следующее условие: ``` SourceAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] AND NOT DestinationAddress insubnet [ '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16' ] ``` Правило обогащения будет применяться к событиям, в которых внутренний IP-адрес обращается к внешнему IP-адресу. - Нажмите **Создать**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image323.png) [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image324.png) Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов
Создайте новый сервис коллектора, выбрав на шаге **Парсинг событий** нормализатор **\[OOTB\] CEF**. В качестве коннектор укажите тип **TCP**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image325.png) Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор: - Перейдите в раздел **Ресурсы** → **Активные сервисы**. - Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image326.png) - В окне **Редактирование коллектора** перейдите на шаг **Обогащение событий** и нажмите **Добавить обогащение**. - В поле **Правило обогащения** выберите ранее созданное правило обогащения. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image327.png) - Перейдите на шаг **Проверка параметров** и нажмите **Сохранить и обновить параметры сервисов**. - Нажмите **Сохранить**. [](https://kb.kuma-community.ru/uploads/images/gallery/2026-08/image328.png)