Skip to main content

Интеграция KUMA с KSC

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/KUMA/3.4/ru-RU/217923.htm 

Интеграция KUMA с KSC позволяет получить активы и данные по ним, которыми управляет KSC, возможность запуска задач реагирования, перемещение активов между группами KSC, закрытие уязвимостей (при наличии лицензии от Kaspersky Endpoint Security для бизнеса Расширенный и выше) из интерфейса KUMA.

Настройка интеграции KUMA с Kaspersky Security Center включает следующие этапы:

·         Создание в Консоли администрирования Kaspersky Security Center учетной записи пользователя.

·         Создание секрета в KUMA с типом credentials для соединения с Kaspersky Security Center.

·         Создание подключения к серверу Kaspersky Security Center.

Создание учетной записи пользователя

Чтобы создать учетную запись пользователя:

Kaspersky Security Center Web Console

1.        Перейдите в раздел Пользователи и роли → Пользователи и группы и выберите вкладку Пользователи.

2.      Нажмите на кнопку Добавить.

3.      В появившемся окне Добавить пользователя укажите параметры нового пользователя:

·         Имя

·         Пароль

image.png

4.        Нажмите Сохранить для завершения создания учетной записи пользователя.

Учетная запись пользователей добавлена в список пользователей.

 

Далее создайте роль пользователя с набором прав и разрешений в KSC:

1.        Перейдите в раздел Пользователи и роли → Роли.

2.      Нажмите на кнопку Добавить.

3.      В появившемся окне Имя новой роли укажите название новой роли.

Для интеграции необходимо заранее создать учетную запись (внутреннего пользователя) в KSC:

image.png

image.png

4.        Нажмите ОК.

5.      В появившемся окне параметров роли перейдите во вкладку Права доступа и предоставьте права согласно скриншотам ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0)

image.png

image.png

 

6.        Нажмите Сохранить.

 

Назначьте созданную роль ранее созданной учетной записи пользователя:

1.        Перейдите в раздел Пользователи и роли → Пользователи и группы и выберите вкладку Пользователи.

2.      Нажмите на кнопку лупы и введите имя ранее созданной учетной записи пользователя.

3.      Выберите созданную учетную запись пользователя и нажмите Назначить роль.

 

image.png

4.        В появившемся окне Назначение ролей нажмите справа на Фильтр и укажите название ранее созданной роли.

5.      Выберите созданную роль и нажмите Далее.

 

image.png

6.      В следующем окне укажите область применения роли. Выберите «Сервер администрирования».

 

image.png

7.       Нажмите Готово.

8.      Повторите процедуру и выберите в качестве области применения роли также Управляемые устройства.

image.png

 

Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции:

https://support.kaspersky.com/help/KSC/15.1/ru-RU/211462.htm

 

Консоль администрирования Kaspersky Security Center

1.        В дереве консоли Kaspersky Security Center выберите узел с именем Сервера администрирования.

2.      В рабочей области выбранного Сервера администрирования перейдите нажмите Свойства Сервера.

 

image.png

3.        Перейдите в раздел Безопасность.

4.      Создайте учетную запись внутреннего пользователя, нажав Внутренний пользователь и далее Добавить пользователя.

 

image.png

 5.      В появившемся окне Новый пользователь укажите параметры нового пользователя:

·         Имя

·         Пароль

 

image.png

 

6.       Нажмите ОК для завершения создания учетной записи пользователя.

Учетная запись пользователей добавлена в список пользователей.

 Далее назначьте соответствующие права новой учетной записи пользователя в KSC:

1.        Перейдите в раздел Безопасность.

2.      Нажмите Внутренний пользователь и в появившемся окне Выбор пользователя в поле Поиск укажите созданную учетную запись пользователя.

3.      Выберите созданную учетную запись пользователя и нажмите ОК.

 image.png

 4.       Выберите учетную запись в списке и в секции Разрешения для <имя учетной записи> на вкладке Права назначьте права согласно скриншоту ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0).

 

image.png

 

image.png

 5.      Нажмите Применить и далее ОК.

6.      Убедитесь, что в Группах устройств KSC, активы из которых необходимо импортировать включен параметр Наследовать параметры Сервера администрирования или родительской группы, или добавлена ранее созданная учетная запись с правами, как на скриншоте выше.

 

image.png

 

Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции:

https://support.kaspersky.com/help/KSC/15.1/ru-RU/211812.htm

 

 

Создание секрета в KUMA

После создания учетной записи в KSC требуется добавить секрет в веб-интерфейсе KUMA. Этот ресурс будет хранить учетные данные для подключения к KSC. Чтобы создать секрет в KUMA выполните следующие действия:

1.        Откройте раздел веб-интерфейса KUMA Ресурсы → Секреты. Отобразится список доступных секретов.

2.      Нажмите на кнопку Добавить, чтобы создать новый секрет.

3.      В появившемся окне Создание секрета введите данные секрета:

·         В поле Название укажите имя для добавляемого секрета.

·         В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать создаваемый ресурс.

·         В раскрывающемся списке Тип выберите credentials.

·         В поле Пользователь укажите имя созданной учетной записи в KSC (для доменной учетной записи используйте формат: пользователь@домен).

·         В поле Пароль укажите пароль учетной записи.

·         Нажмите Создать.

 

image.png

Из соображений безопасности после сохранения секрета строки, указанные в полях Пользователь и Пароль, скрываются

Создание подключения к Kaspersky Security Center

Чтобы создать подключение к Kaspersky Security Center:

1.        Откройте веб-интерфейс KUMA и выберите раздел Параметры → Kaspersky Security Center.

2.      В появившемся окне Интеграция с Kaspersky Security Center по тенантам нажмите Добавить параметры для нового тенанта.

3.      В появившемся окне Интеграция с Kaspersky Security Center выберите тенант, для которого вы хотите создать подключение к Kaspersky Security Center, и нажмите Добавить подключение.

image.png

4.       Справа в окне Параметры подключения укажите значения для следующих параметров:

·         Название – имя подключения.

·         URL – URL сервера Kaspersky Security Center в формате hostname:port или IPv4:port.

·         В раскрывающемся списке Секрет выберите ранее созданный секрет с учетными данными Kaspersky Security Center.

image.png

5.      Нажмите Сохранить.

6.      В окне Интеграция с Kaspersky Security Center также нажмите Сохранить. Вверху справа кнопки Добавить подключение и Импортировать активы станут активны.

Подключение к серверу Kaspersky Security Center создано. Его можно использовать для импорта информации об активах из Kaspersky Security Center в KUMA и для создания задач, связанных с активами, в Kaspersky Security Center прямо из веб-интерфейса KUMA.

 

Импорт активов из Kaspersky Security Center

Активы представляют собой рабочие станции, серверы, сетевое оборудование в организации. Вы можете добавить активы в KUMA, тогда KUMA будет автоматически добавлять идентификаторы активов при обогащении событий и при анализе событий Вы получите дополнительную информацию об устройствах в организации (IP-адрес, владелец, актива, ОС, информация о программном и аппаратном обеспечении, уязвимости и др.).

Активы в KUMA можно добавить следующими способами:

·         Импортировать активы:

·         Из отчетов сканеров уязвимостей:

·         MP8 Scanner;

·         MaxPatrol VM;

·         RedCheck;

·         Nessus;

·         OWASP ZAP.

·         По расписанию: из Kaspersky Security Center и KICS for Networks.

·         Создать активы вручную через веб-интерфейс или с помощью API.

Пользователь KUMA может:

·         Просматривать информацию об активах.

·         Искать активы.

·         Добавлять активы, редактировать их и удалять.

·         Экспортировать данные об активах в CSV-файл.

Ниже рассмотрен процесс импорта активов из Kaspersky Security Center.

 

Чтобы выполнить импорт информации об активах из Kaspersky Security Center:

1.        Откройте веб-интерфейс KUMA и перейдите в раздел Параметры → Kaspersky Security Center.

2.      Выберите тенант, в котором ранее было создано подключение к Kaspersky Security Center.

3.      В появившемся окне Интеграция с Kaspersky Security Center нажмите на созданное подключение к KSC и в появившемся окне Параметры подключения нажмите Загрузить иерархию.

4.       Отобразится иерархия групп устройств KSC. Выберите группы, устройства из которых необходимо импортировать.

5.      Нажмите на кнопку Импортировать активы. Будет создана задача по импорту активов.

 image.png

6.      Нажмите Сохранить.

7.       В окне Интеграция с Kaspersky Security Center также нажмите Сохранить.

8.      Перейдите в раздел Диспетчер задач.

9.      Нажмите на задачу Импорт активов KSC со статусом Завершено. В окне справа Информация о задаче будет указано количество активов, информация о которых была импортирована в KUMA.

 

image.png

Информация об активах успешно импортирована.

 

Чтобы просмотреть информацию об импортированном активе:

1.        Перейдите в раздел Активы → выберите один из активов в списке.

2.      В окне справа отобразится информация об активе.

image.png

image.pngimage.png

 

image.png

 

Пример события, обогащенного информацией об активе, представлен на скриншоте ниже.

image.png

 

Коллекторы KUMA с периодически получают списки активов от ядра KUMA и хранят их памяти в виде таблиц, позволяющих определить AssetID по IP адресу и/или FQDN.

При поступлении события в коллектор, коллектор выполняет:

·         нормализацию данных в поля события KUMA;

·         если в событии содержится информация о SourceAddress, Destination Address, DeviceAddress, SourceHostName, DestinationHostName, DeviceHostName коллектор выполняет поиск IP - AssetID и/или FQDN - AssetID;

·         если информация об активе найдена, AssetID проставляется в соответствующее поле нормализованного события;

·         В общем случае, в нормализованное событие могут быть проставлены 3 типа AssetID: SourceAssetID, DestinationAssetID, DeviceAssetID.

 

Работа с активами
Создание категории активов

Вы можете разбить активы по категориям и затем использовать категории активов в условиях фильтров или правил корреляции. Например, можно создавать алерты более высокого уровня важности для активов из более критичной категории. По умолчанию все активы находятся в категории Активы без категории. Устройство можно добавить в несколько категорий.

По умолчанию в KUMA категориям активов присвоены следующие уровни критичности: Low, Medium, High, Critical. Вы можете создать пользовательские категории и организовать вложенность.

Категории активов можно наполнять следующими способами:

·         Вручную

·         Активно: динамически, если актив соответствует заданным условиям. Например, с момента перехода актива на указанную версию ОС или размещения актива в указанной подсети актив будет перемещен в заданную категорию.

·         Реактивно: при срабатывания корреляционного правила актив будет перемещаться в указанную группу.

 

Чтобы добавить категорию активов:

1.        Перейдите в раздел Активы веб-интерфейса KUMA.

2.      Выберите категорию Main/Categorized assets и нажмите Добавить категорию.

3.      В появившемся окне Добавить категорию укажите:

·         В поле Название введите название категории.

·         Опционально в поле Родительская категория укажите место категории в дереве категорий.

·         В поле Тенант отображается тенант, в структуре которого вы выбрали родительскую категорию.

·         В раскрывающемся списке Способ категоризации выберите, как категория будет пополняться активами (в нашем примере будет использоваться способ Активно). В зависимости от выбора может потребоваться указать дополнительные параметры:

·         Вручную – активы можно привязать к категории только вручную.

·         Активно – активы будут с определенной периодичностью привязываться к категории, если удовлетворяют заданному фильтру.

·         Реактивно – категория будет наполняться активами с помощью правил корреляции.

·         Назначьте уровень важности категории в раскрывающемся списке Уровень важности (в нашем примере будет использоваться уровень важности Критический).

·         В раскрывающемся списке Регулярность категоризации укажите периодичность, с которой активы будут привязываться к категории (выберите 24 часа).

·         В блоке параметров Условия укажите фильтр, которому должны соответствовать активы для привязывания к категории (укажите собственное условие фильтра или согласно скриншоту ниже, указав в условии Полное доменное имя наименование тестовой рабочей станции).

·         С помощью кнопки Проверить условия убедитесь, что указанный фильтр верен: при нажатии на кнопку отображается окно Активы, найденные по заданным условиям с перечнем активов, удовлетворяющих условиям поиска.

·         Нажмите Сохранить.

image.png

image.png

Новая категория добавлена в дерево категорий активов.

Поиск активов

В KUMA есть два режима поиска активов. Переключение между режимами поиска осуществляется с помощью кнопок в верхней левой части окна:

·      image.png     – простой поиск по параметрам активов Название, Полное доменное имя, IP-адрес, MAC-адрес и Владелец.

·       image.png  – сложный поиск активов с помощью фильтрации по условиям и группам условий.

 

Чтобы выполнить простой поиск:

1.        В разделе Активы веб-интерфейса KUMA убедитесь, что напротив поля Поиска активна кнопка  image.png

2.      Введите поисковый запрос в поле Поиск и нажмите ENTER или значок  .

3.      В таблице отобразятся активы, у которых параметры Название, Полное доменное имя, IP-адрес, MAC-адрес и Владелец соответствуют критериям поиска.

image.png

Чтобы выполнить cложный поиск:

1.        В разделе Активы веб-интерфейса KUMA убедитесь, что напротив поля Поиска активна кнопка  image.png

2.      Добавьте условие фильтрации (можно добавить несколько условий, используя кнопку Добавить условие или создать Группу условий) и нажмите Поиск.

3.      В таблице отобразятся активы, которые соответствуют критериям поиска.

image.png

 

Экспорт данных об активах

Данные об активах, отображаемых в таблице активов, можно экспортировать в виде CSV-файла.

Чтобы экспортировать данные об активах:

1.        Перейдите в раздел Активы и выполните настройку таблицы активов. В файл записываются только данные, указанные в таблице. Порядок отображения столбцов таблицы активов повторяется в экспортированном файле.

 image.png

 

2.      Выполните поиск нужных активов, выберите их, установив рядом с ними флажки. При необходимости вы можете выбрать сразу все активы в таблице, установив флажок в левой части заголовка таблицы активов.

3.      Нажмите на кнопку Экспортировать в CSV.

image.png

 

Данные об активах будут записаны в файл assets_<дата экспорта>_<время экспорта>.csv и загружены автоматически.

Статья онлайн-справки «Управление активами»:

https://support.kaspersky.ru/kuma/3.4/217935

 

Статья KUMA Community «Интеграция KUMA с KSC»:

https://kb.kuma-community.ru/books/integracii/page/integraciia-kuma-s-ksc

 

Видео «Интеграция с Kaspersky Security Center»:

https://rutube.ru/video/c3012fb60209d69c7adedfefaaf93535/?playlist=540937

 

Back to top