Skip to main content

Интеграция CyberTrace с KUMA

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/help/KUMA/4.0/ru-RU/217924.htm

Онлайн-справка Kaspersky CyberTrace:
https://support.kaspersky.ru/cyber-trace/5.3

Описание CyberTrace 

Обучающие видео по Kaspersky CyberTrace: https://rutube.ru/plst/1042259/

Ссылка на актуальный дистрибутив CyberTrace: https://support.kaspersky.com/datafeeds/download/15920#block0 

Kaspersky CyberTrace — это платформа анализа киберугроз (Threat Intelligence Platform), которая агрегирует индикаторы компрометации из различных источников, в том числе из потоков данных об угрозах Лаборатории Касперского, и поддерживает интеграцию с SIEM-системами для автоматического поиска индикаторов компрометации (IoC) в событиях ИБ. В случае обнаружения IoC в событии ИБ CyberTrace автоматически отправляет в SIEM сообщение об обнаруженном индикаторе, вместе с дополнительной контекстной информацией.

Вы можете интегрировать CyberTrace с KUMA одним из следующих способов:

  • Интегрировать функцию поиска индикаторов компрометации для обогащения событий, полученных от различных источников, информацией потоков данных CyberTrace.
  • Интегрировать в KUMA веб-интерфейс CyberTrace целиком, чтобы обеспечить полный доступ к веб-интерфейсу CyberTrace.

Возможность развертывания и использования CyberTrace с потоками данных об угрозах Лаборатории Касперского доступна при наличии модуля TI KUMA или приобретении отдельной лицензии CyberTrace.

Интеграция KUMA с веб-интерфейсом CyberTrace доступна только для лицензии CyberTrace TIP Enterprise (доступна при наличии модуля TI KUMA или в рамках отдельной лицензии CyberTrace).

Аппаратные и программые требования

Аппаратные и программные требования доступны по ссылке:
https://support.kaspersky.ru/cyber-trace/5.3/162509

Руководство по выбору аппаратной конфигурации:
https://support.kaspersky.ru/cyber-trace/5.3/270237

Примеры требований для трех распространенных режимов использования Kaspersky CyberTrace:
https://support.kaspersky.ru/cyber-trace/5.3/270383

Для загрузки потоков данных об угрозах Лаборатории Касперского CyberTrace требуется доступ до адреса https://wlinfo.kaspersky.com (TCP/443).
Важно: НЕ должен подменяться сертификат (SSL inspection) на периметре при доступе к ресурсу. Для загрузки других потоков данных об угрозах может потребоваться доступ в зависимости от их размещения.

Установка CyberTrace в ОС Linux

В ОС Linux CyberTrace можно установить двумя способами:

  • Установка пакета RPM

При этом типе установки запускается скрипт установки run.sh. Скрипт установки устанавливает пакет RPM и запускает конфигуратор. Конфигуратор генерирует сертификаты для веб-интерфейса Kaspersky CyberTrace и настраивает базу данных индикаторов Elasticsearch.

  • Установка пакета DEB

Аналогична установке пакета RPM.

Рекомендуется перед установкой CyberTrace установить и запустить антивирусное программное обеспечение, а также настроить списки исключений (на примере KES).

В рамках статьи рассматривается пример установки CyberTrace в ОС Ubuntu с использованием DEB-пакета.

В результате установки CyberTrace в операционной системе создаются два сервиса:

  • cybertrace_db (сервис, связанный с работой базы данных индикаторов)
  • cybertrace (основной сервис продукта)

CyberTrace устанавливается в каталог /opt/kaspersky/ktfs.

Учетная запись пользователя, выполняющего установку пакета DEB, должна иметь права root.

Чтобы установить пакет DEB Kaspersky CyberTrace, выполните следующие действия:

  • Распакуйте содержимое комплекта поставки в любой каталог на сервере. В следующей команде замените %temp_dir% на этот каталог и %VERSION% на версию инсталляционного пакета.
tar -C %temp_dir% -xvzf Kaspersky_CyberTrace-Linux-x86_64-%VERSION%-DEB.tar.gz --no-same-owner

Пакет DEB, скрипт установки и документация распаковываются в этот каталог.

У архива может быть другое имя, например %SIEM%-deb.tar.gz. Можно использовать имя как есть или переименовать архив командой mv.

image.png

  • Перейдите в каталог, в который была выполнена распаковка.
  • Запустите скрипт установки:
./run.sh install

Скрипт установки установит пакет DEB и добавит Kaspersky CyberTrace Service в список сервисов, которые systemd запускает при загрузке системы. Kaspersky CyberTrace Service будет запускаться автоматически при загрузке системы.

  • После установки пакета DEB скрипт установки автоматически запускает конфигуратор.
  • В конфигураторе ознакомьтесь и примите Лицензионное соглашение (EULA).
  • Войдите в веб-интерфейс CyberTrace по адресу https://<IP_or_Hostname>, УЗ по умолчанию admin / CyberTrace!1

image311.png

Статья онлайн-справки «Установка в ОС Linux»:
https://support.kaspersky.ru/cyber-trace/5.3/165522

Статья онлайн-справки «Установка в ОС Windows»:
https://support.kaspersky.ru/cyber-trace/5.3/165581

Настройка CyberTrace

При первом входе в веб-интерфейс CyberTrace после установки появится окно мастера первоначальной настройки (Initial Setup Wizard), в котором:

  • На шаге мастера Добро пожаловать в Kaspersky CyberTrace отображается краткая информация о Kaspersky CyberTrace и о мастере первоначальной настройки. Выберите язык интерфейса и нажмите Далее.

image312.png

  • На шаге Настройка прокси-сервера укажите параметры прокси-сервера для Kaspersky CyberTrace. Шаг является опциональным.

image313.png

  • На шаге мастера Настройка лицензирования выберите требуемый уровень лицензирования Kaspersky CyberTrace: Community Edition или коммерческую лицензию. В нашем примере используется коммерческий уровень лицензирования и указывается Файл ключа. После выбора этого варианта укажите предоставленный файл ключа для Kaspersky CyberTrace (<имя файла>.key).
  • На шаге 4 мастера Настройка сервиса отключите Служебные оповещения и укажите IP-адрес или имя хоста, используемые для подключения к веб-интерфейсу Kaspersky CyberTrace (IP-адрес или имя хоста того сервера, на котором установлен Kaspersky CyberTrace).

image314.png

  • На шаге  мастера Настройка управления данными необходимо выбрать и настроить SIEM-систему для интеграции с Kaspersky CyberTrace. От выбора SIEM-системы зависит формат конфигурационных файлов Kaspersky CyberTrace, поскольку эти файлы адаптируются под конкретную SIEM-систему.
    • В разделе SIEM-система выберите SIEM-систему для интеграции с CyberTrace. В нашем примере это будет KUMA.
    • В разделе Входящие события задайте параметры сокета, который Kaspersky CyberTrace должен прослушивать в ожидании входящих событий. В нашем примере это будет IP-адрес сервера CyberTrace и порт 9999.
  • Параметры раздела Оповещения об обнаружении индикаторов компрометации оставьте по умолчанию.

image315.png 

  • На шаге 6 мастера Настройка сертификата добавьте сертификат. Сертификат определяет набор потоков данных об угрозах «Лаборатории Касперского», которые можно использовать в Kaspersky CyberTrace. Выберите необходимый тип сертификата: Демо-сертификат или Коммерческий сертификат и укажите путь к файлу .pem с сертификатом.

Для получения коммерческого сертификата обратитесь к сотрудникам Лаборатории Касперского или представителям партнера, который проводит пилотное тестирование.

image316.png

  • На шаге мастера 7 Настройка потоков данных укажите потоки данных, которые планируется использовать в Kaspersky CyberTrace. Набор доступных потоков данных определяется сертификатом, выбранным на предыдущем шаге мастера.

image317.png

  • На шаге 8 Первоначальная настройка завершена чтобы завершить работу мастера первоначальной настройки, нажмите кнопку Готово.

image318.png

После завершения первоначальной настройки рекомендуется изменить пароль администратора, используемый по умолчанию 

Проверка загрузки индикаторов компрометации

Чтобы проверить, что индикаторы компрометации, выбранных потоков данных об угрозах, успешно загружены в CyberTrace:

  • Выберите Тенант Система.
  • Перейдите в раздел Задачи и убедитесь, что задача Feeds update завершилась со статусом Выполнено.

 image319.png

  • Перейдите в раздел Информационная панель → виджет Статистика по потокам индикаторов и проверьте, что столбец Индикаторы для каждого фида (потока данных об угрозах) отличен от 0.

image320.png

  • Выберите Тенант General.
  • Перейдите в раздел Индикаторы и убедитесь в наличии индикаторов компрометации из выбранных потоков данных угрозах.

image321.png

Настройка обогащения событий

Начиная с версии 3.2 в KUMA доступно 2 варианта интеграции с CyberTrace для потокового обогащения событий данными об индикаторах компрометации:

  • С помощью Kaspersky CyberTrace Service
С использованием API CyberTrace (рекомендуемый). С помощью Kaspersky CyberTrace Service (см. Приложение А).

Интеграция с использованием API CyberTrace 

  • В веб-интерфейсе CyberTrace создайте новую учетную запись пользователя, которая будет использоваться KUMA для подключения к API CyberTrace. Для этого:
    • Перейдите в раздел Settings -> Users  и нажмите Add new user. В появившемся окне New user укажите следующие параметры:
      • Login - <имя учетной записи пользователя>
      • Password - <пароль учетной записи пользователя>
      • Confirm password - <пароль учетной записи пользователя>
      • Role - Analyst
      • Нажмите Add.
  • Далее в веб-интерфейсе KUMA создайте секрет для подключения к API CyberTrace:
    • Перейдите в Ресурсы -> Секреты и нажмите Добавить. В появившемся окне укажите следующие параметры:
      • Название - <название секрета>
      • Тенант - <название тенанта, например, Main>
      • Тип - credentials
      • Пользователь - <Имя пользователя, созданного на предыдущем шаге>
      • Пароль - <Пароль, созданного пользователя на предыдущем шаге>
      • Описание (опционально)

image.png

  • Создайте правило обогащения в веб-интерфейсе KUMA:
    • Перейдите в Ресурсы -> Правила обогащения и нажмите Добавить. В появившемся окне укажите следующие параметры:
      • Название - <название правила обогащения>
      • Тенант - <название тенанта, например, Main>
      • Исходный тип - cybertrace-http
      • URL - <IP-адрес/FQDN сервера CyberTrace>:443
      • Секрет - <секрет, созданный на предыдущем шаге>
      • Ключевые поля - <поля, значения которых будут передаваться в CyberTrace на анализ. Как пример, укажите поля со скриншота ниже>

В качестве ключевых полей необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие. 

      • Время ожидания - 0
      • Максимальное кол-во событий в очереди обогащения - 1000000
      • Описание (опционально)
      • Параметры фильтра - <условия срабатывания правила обогащения. В качестве примера, ниже используется набор условий, при котором правило будет срабатывать для событий обращения внутренних IP-адресов к внешним IP-адресам>

image.png

Пример готового кода для добавления в правило обогащения:

SourceAddress insubnet [
  '10.0.0.0/8',
  '172.16.0.0/12',
  '192.168.0.0/16'
]
AND NOT DestinationAddress insubnet [
  '10.0.0.0/8',
  '172.16.0.0/12',
  '192.168.0.0/16'
]

Укажите поля DestinationHostName | RequestURL и DestinationNtDomain | DestinationDnsDomain, потому что в событии может быть только одно поле из пары. Если есть оба поля, коннектор CyberTrace в KUMA возьмет только уникальное значение и отправит в CyberTrace на анализ

Если объекты (IP, URL, Domain, Hash) расположены в “кастомных” полях, напр., DeviceCustomString1, то можно создать отдельное правило обогащения, в котором в качестве ключевого поля будет указано необходимое "кастомное" поле/поля

    • Нажмите Создать.

Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.

Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов

Создайте новый сервис коллектора, выбрав на шаге Парсинг событий нормализатор [OOTB] CEF. В качестве коннектор укажите тип TCP.

image325.png

Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор:

  • Перейдите в раздел Ресурсы → Активные сервисы.
  • Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). 

image326.png

  • В окне Редактирование коллектора перейдите на шаг Обогащение событий и нажмите Добавить обогащение.
  • В поле Правило обогащения выберите ранее созданное правило обогащения.

image327.png

  • Перейдите на шаг Проверка параметров и нажмите Сохранить и обновить параметры сервисов.
  • Нажмите Сохранить.

image328.png

Проверка работы обогащения Kaspersky CyberTrace

Чтобы проверить корректность работы правила обогащения и интеграции с Kaspersky CyberTrace:

  • Создайте тестовый коллектор с коннектором типа TCP и нормализатором [OOTB] CEF.
  • В консоли сервера KUMA или консоли другого хоста выполните команду отправки тестового события с вредоносным IP в созданный коллектор (для отправки используется утилита netcat):

nc <IP-адрес сервера KUMA> <порт коллектора> <<< 'CEF:Version|Device Vendor|Device Product|Device Version|Signature ID|Name|Severity|src=10.1.1.1 dst=192.0.2.3'

image.png

  • В консоли сервера KUMA выполните команду отправки тестового события с вредоносным URL в созданный коллектор:
nc <IP-адрес сервера KUMA> <порт коллектора> <<< 'CEF:Version|Device Vendor|Device Product|Device Version|Signature ID|Name|Severity|src=10.1.1.1 request=http://a7396d61caffe18a4cffbb3b428c9b60.com'

image.png

  • Перейдите в раздел Ресурсы → Активные сервисы.
  • Нажмите ПКМ на ранее созданный коллектор и выберите Перейти к событиям.

image331.png

  • В разделе События нажмите на событие, у которого значение поля DestinationAddress равно 192.0.2.3 и убедитесь, что в карточке события отображается информация об обнаруженном индикаторе компрометации.

image332.png

  • В разделе События нажмите на событие, у которого значение поля RequestUrl равно  http://a7396d61caffe18a4cffbb3b428c9b60.com и убедитесь, что в карточке события отображается информация об обнаруженном индикаторе компрометации.

image333.png

Если вы применили правило обогащения на продуктивном коллекторе (например, коллектор, обрабатывающий события NGFW) для поиска событий, обогащенных информацией об индикаторах компрометации, выполните следующий поисковый запрос:

SELECT * FROM `events` WHERE TI !='' ORDER BY Timestamp DESC LIMIT 250

Для создания алертов и отслеживания обращений к IP-адресам/доменам/URL, информация о которых есть в фидах CyberTrace, необходимо привязать к коррелятору следующие правила корреляции из SOC Package: 
 R201_Обнаружено соединение с подозрительным IP-адресом
 R202_Обнаружено обращение на подозрительный Domain
 R203_Обнаружено обращение на подозрительный URL

Количество обнаружений на основе объектов (IP/домены/URL/хеш-суммы файлов), полученных от KUMA, можно просмотреть в виджете Обзор статистики CyberTrace. Для этого:

  • В веб-интерфейсе CyberTrace выберите тенант General.
  • Перейдите в Информационная панель и выберите виджет Обзор статистики.

image334.png

Чтобы просмотреть обнаруженные индикаторы компрометации во входящих событиях:

  • В веб-интерфейсе CyberTrace выберите тенант General.
  • Перейдите в Обнаружения и убедитесь в наличии в таблице IP-адреса 192.0.2.3 и URL http://a7396d61caffe18a4cffbb3b428c9b60.com.
  • Нажав на значение индикатора ознакомьтесь с подробной информацией об обнаружении.

image335.png

Интеграция интерфейса CyberTrace

Вы можете интегрировать веб-интерфейс CyberTrace в веб-интерфейс KUMA. Когда эта интеграция настроена и включена, в веб-интерфейсе KUMA появляется раздел CyberTrace с доступом к веб-интерфейсу CyberTrace.

Чтобы интегрировать веб-интерфейс CyberTrace в KUMA:

  • Перейдите в раздел веб-интерфейса KUMA Ресурсы → Секреты.
  • Нажмите на кнопку Добавить секрет, чтобы создать новый секрет. Этот ресурс используется для хранения учетных данных для подключения к серверу CyberTrace.
  • В появившемся окне Создание секрета:
    • В поле Название укажите имя для добавляемого секрета.
    • В раскрывающемся списке Тенант выберите, к какому тенанту относится этот ресурс.
    • В раскрывающемся списке Тип выберите credentials.
    • В полях Пользователь и Пароль введите учетные данные пользователя с ролью Администратор на сервере CyberTrace (в нашем примере будет использоваться учетная запись по умолчанию admin).
    • При необходимости в поле Описание добавьте описание для создаваемого секрета.
    • Нажмите Сохранить.

image336.png

Учетные данные сервера CyberTrace сохранены и могут использоваться в других ресурсах KUMA.

  • Перейдите в раздел веб-интерфейс KUMA Параметры → Интеграции → Kaspersky CyberTrace.
  • В окне Интеграция с Kaspersky CyberTrace укажите:
    • Адрес сервера (обязательно) – введите IP-адрес или FQDN сервера CyberTrace.
    • Порт (обязательно) – введите порт сервера CyberTrace, порт для доступа к веб-интерфейсу по умолчанию 443.
    • В раскрывающемся списке Секрет выберите секрет, который вы создали ранее.
  • В секции Разрешить хосты укажите IP-адрес (если для доступа к веб-интерфейсу KUMA используется IP-адрес) или FQDN (если для доступа к веб-интерфейсу KUMA используется FQDN) сервера KUMA.
  • Для параметра Основная версия CyberTrace укажите используемую версию CyberTrace
  • Нажмите Сохранить.

image.png

  • Убедитесь, что в панели слева веб-интерфейса KUMA появился раздел CyberTrace.

image338.png

Обновление списка запрещенных объектов CyberTrace (Internal TI)

После интеграции веб-интерфейса CyberTrace в веб-интерфейс KUMA появляется возможность вручную формировать внутренний BlackList из объектов, которые встречаются в событиях KUMA. Данный BlackList (в терминологии CyberTrace фид «Internal TI») будет хранится в CyberTrace и может быть использован для обогащения событий и поиска индикаторов компрометации по аналогии с коммерческими фидами.  

Чтобы добавить объект в фид Internal TI CyberTrace:

  • В веб-интерфейсе KUMA откройте карточку события в таблице событий, окне алертов или окне корреляционного события и нажмите ссылку на домене, веб-адресе, IP-адресе или хеш-сумме файла.
  • В контекстное меню выберите Добавить в Internal TI CyberTrace.

Выбранный объект добавлен в список запрещенных объектов в CyberTrace.

image339.png

Чтобы просмотреть перечень объектов, добавленных в фид Internal TI CyberTrace:

  • В веб-интерфейсе KUMA перейдите в раздел CyberTrace.
  • Далее в разделе Индикаторы примените фильтр по Потокам индикаторов, выбрав InternalTI.

Нажав на значение индикатора можно просмотреть сведения об индикаторе и  при необходимости добавить дополнительные атрибуты.

image340.png

Приложение А. Интеграция с помощью Kaspersky CyberTrace Service

Чтобы настроить обогащение событий данными об индикаторах компрометации с использованием Kaspersky CyberTrace Service создайте правило обогащения:

  • В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Правила обогащения.
  • Нажмите на кнопку Добавить.

image322.png

  • В появившемся окне Создание правила обогащения:
    • В поле Название введите уникальное имя правила.
    • В раскрывающемся списке Тенант выберите, к какому тенанту относится этот ресурс.
    • В раскрывающемся списке Исходный тип выберите cybertrace.
    •  Укажите URL или IP-адрес сервера CyberTrace, к которому вы хотите подключиться.
    • При необходимости укажите в поле Количество подключений максимальное количество подключений к серверу CyberTrace, которые может одновременно установить KUMA. Значение по умолчанию равно количеству vCPU сервера, на котором установлен Коллектор KUMA.
    • В поле Запросов в секунду введите количество запросов к серверу CyberTrace, которое сможет выполнять KUMA в секунду. Значение по умолчанию: 1000.
    • В поле Максимальное кол-во событий в очереди обогащения введите максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1000000.
    • В поле Время ожидания укажите время в секундах, в течение которого KUMA должна ожидать ответа от сервера CyberTrace. Если ответ получен до истечения времени ожидания, он добавляется в поле события TI, и обработка события продолжается. Значение по умолчанию: 30.
    • В секции Сопоставление требуется указать поля событий, значения которых следует отправить в CyberTrace на проверку, а также задать правила сопоставления полей событий KUMA с типами индикаторов CyberTrace:
      •     В столбце Поле KUMA выберите поле, значение которого требуется отправить в CyberTrace (в нашем примере поле RequestUrl и DestinationAddress).

В качестве отправляемых полей необходимо указывать поля, в которых присутствует внешний IP-адрес/домен/URL/хеш-сумма файла. Например, поля FileHash, DestinationHostName и другие.

      • В столбце Индикатор CyberTrace выберите тип индикатора CyberTrace для каждого выбранного поля (в нашем примере url и ip соответственно):
        •  ip
        • url
        • hash
  • В секции Параметры фильтра можно задать условия определения событий, которые будут обрабатываться создаваемым правилом обогащения. Переключитесь на Код и укажите следующее условие:
SourceAddress insubnet [
  '10.0.0.0/8',
  '172.16.0.0/12',
  '192.168.0.0/16'
]
AND NOT DestinationAddress insubnet [
  '10.0.0.0/8',
  '172.16.0.0/12',
  '192.168.0.0/16'
]

    Правило обогащения будет применяться к событиям, в которых внутренний IP-адрес обращается к внешнему IP-адресу.

  • Нажмите Создать.

image323.png

image324.png

Далее созданное правило обогащения необходимо добавить в параметрах коллектора. В примере ниже будет создан новый сервис коллектора для отправки тестовых событий, Вы можете пропустить этот шаг и использовать созданное правило обогащения на существующих коллекторах.

Рекомендуется применять правила обогащения в Коллекторах, которые обрабатывают события приложений, сетевого оборудования или средств защиты, в которых есть внешние домены/URL/IP-адреса или хеш-суммы файлов

Создайте новый сервис коллектора, выбрав на шаге Парсинг событий нормализатор [OOTB] CEF. В качестве коннектор укажите тип TCP.

image325.png

Чтобы добавить созданное ранее правило обогащения событий данными об индикаторах компрометации в коллектор:

  • Перейдите в раздел Ресурсы → Активные сервисы.
  • Выберите коллектор, события которого необходимо обогащать данными об индикаторах компрометации (в нашем примере коллектор для тестовых событий в формате CEF). 

image326.png

  • В окне Редактирование коллектора перейдите на шаг Обогащение событий и нажмите Добавить обогащение.
  • В поле Правило обогащения выберите ранее созданное правило обогащения.

image327.png

  • Перейдите на шаг Проверка параметров и нажмите Сохранить и обновить параметры сервисов.
  • Нажмите Сохранить.

image328.png

Back to top