Интеграция KUMA с KSC

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в онлайн-справке на продукт: https://support.kaspersky.com/KUMA/4.0/ru-RU/217923.htm

Видео «Работа с событиями»:
https://rutube.ru/video/c3012fb60209d69c7adedfefaaf93535/?playlist=540937

При наличии интеграции KUMA cс сервером Kaspersky Security Center появляется возможность импортировать информацию об активах, защищаемых данной программой, перемещать активы между группами администрирования, закрывать уязвимости (при наличии лицензии от Kaspersky Endpoint Security для бизнеса Расширенный и выше) и выполнять действия по реагированию на активах c установленным Kaspersky Endpoint Security из веб-интерфейса KUMA.

Предварительно убедитесь, что на требуемом сервере Kaspersky Security Center разрешено входящее соединение для сервера с KUMA.

Настройка интеграции KUMA с Kaspersky Security Center включает следующие этапы:

Создание в Консоли администрирования Kaspersky Security Center учетной записи пользователя.
Создание секрета в KUMA с типом credentials для соединения с Kaspersky Security Center.
Создание подключения к серверу Kaspersky Security Center.

Создание учетной записи пользователя

Kaspersky Security Center Web Console

Чтобы создать учетную запись пользователя:

Перейдите в раздел Пользователи и роли → Пользователи и группы и выберите вкладку Пользователи.
Нажмите на кнопку Добавить.
В появившемся окне Добавить пользователя укажите параметры нового пользователя:
- Имя
- Пароль

Нажмите Сохранить для завершения создания учетной записи пользователя.

Учетная запись пользователей добавлена в список пользователей.

Далее создайте роль пользователя с набором прав и разрешений в KSC:

Перейдите в раздел Пользователи и роли → Роли.
Нажмите на кнопку Добавить.
В появившемся окне Имя новой роли укажите название новой роли.

Нажмите ОК.
В появившемся окне параметров роли перейдите во вкладку Права доступа и предоставьте права согласно скриншотам ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0)

Нажмите Сохранить.

Назначьте созданную роль ранее созданной учетной записи пользователя:

Перейдите в раздел Пользователи и роли → Пользователи и группы и выберите вкладку Пользователи.
Нажмите на кнопку ~~лупы~~ и введите имя ранее созданной учетной записи пользователя.
Выберите созданную учетную запись пользователя и нажмите Назначить роль.

В появившемся окне Назначение ролей нажмите справа на Фильтр и укажите название ранее созданной роли.
Выберите созданную роль и нажмите Далее.

В следующем окне укажите область применения роли. Выберите «Сервер администрирования».

Нажмите Готово.
Повторите процедуру и выберите в качестве области применения роли также Управляемые устройства.

Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции: https://support.kaspersky.com/help/KSC/15.1/ru-RU/211462.htm

Консоль администрирования Kaspersky Security Center

В дереве консоли Kaspersky Security Center выберите узел с именем Сервера администрирования.
В рабочей области выбранного Сервера администрирования перейдите нажмите Свойства Сервера.

Перейдите в раздел Безопасность.
Создайте учетную запись внутреннего пользователя, нажав Внутренний пользователь и далее Добавить пользователя.

В появившемся окне Новый пользователь укажите параметры нового пользователя:
- Имя
- Пароль

Нажмите ОК для завершения создания учетной записи пользователя.

Учетная запись пользователей добавлена в список пользователей.

Далее назначьте соответствующие права новой учетной записи пользователя в KSC:

Перейдите в раздел Безопасность.
Нажмите Внутренний пользователь и в появившемся окне Выбор пользователя в поле Поиск укажите созданную учетную запись пользователя.
Выберите созданную учетную запись пользователя и нажмите ОК.

Выберите учетную запись в списке и в секции Разрешения для <имя учетной записи> на вкладке Права назначьте права согласно скриншоту ниже (в данном примере права предоставляются к приложению Kaspersky Endpoint Security для Windows 12.8.0).

Нажмите Применить и далее ОК.
Убедитесь, что в Группах устройств KSC, активы из которых необходимо импортировать включен параметр Наследовать параметры Сервера администрирования или родительской группы, или добавлена ранее созданная учетная запись с правами, как на скриншоте выше.

Если в KSC используется MFA необходимо настроить исключение для учетной записи KUMA согласно этой инструкции:
https://support.kaspersky.com/help/KSC/15.1/ru-RU/211812.htm

Создание секрета в KUMA

После создания учетной записи в KSC требуется добавить секрет в веб-интерфейсе KUMA. Этот ресурс будет хранить учетные данные для подключения к KSC. Чтобы создать секрет в KUMA выполните следующие действия:

Откройте раздел веб-интерфейса KUMA Ресурсы → Секреты. Отобразится список доступных секретов.
Нажмите на кнопку Добавить, чтобы создать новый секрет.
В появившемся окне Создание секрета введите данные секрета:
- В поле Название укажите имя для добавляемого секрета.
- В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать создаваемый ресурс.
- В раскрывающемся списке Тип выберите credentials.
- В поле Пользователь укажите имя созданной учетной записи в KSC (для доменной учетной записи используйте формат: пользователь@домен).
- В поле Пароль укажите пароль учетной записи
- Нажмите Создать.

Из соображений безопасности после сохранения секрета строки, указанные в полях Пользователь и Пароль, скрываются

Создание подключения к Kaspersky Security Center

Чтобы создать подключение к Kaspersky Security Center:

Откройте веб-интерфейс KUMA и выберите раздел Параметры → Интеграции → Kaspersky Security Center.
В появившемся окне Интеграция с Kaspersky Security Center по тенантам нажмите Добавить параметры для нового тенанта.
В появившемся окне Kaspersky Security Center:
- Выберите тенант, для которого вы хотите создать подключение к Kaspersky Security Center, по умолчанию, Main.
- В секции KSC активы, информация об оборудовании укажите Интервал обновления данных (час.), по умолчанию 1 час.
- В секции Атрибуты активов KSC (уязвимости, программное обеспечение, владельцы) укажите Интервал обновления данных (час.), по умолчанию 12 часов.
- В секции Подключения нажмите Создать и в появившемся окне Создать подключение укажите:
  - Название – имя подключения.
  - URL – URL сервера Kaspersky Security Center в формате hostname:port или IPv4:port.
  - В раскрывающемся списке Секрет выберите ранее созданный секрет с учетными данными Kaspersky Security Center.
  - Нажмите Создать.

- После возвращения в окно Kaspersky Security Center нажмите Добавить.

Подключение к серверу Kaspersky Security Center создано. Его можно использовать для импорта информации об активах из Kaspersky Security Center в KUMA и для создания задач, связанных с активами, в Kaspersky Security Center прямо из веб-интерфейса KUMA.

Импорт активов из Kaspersky Security Center

Активы в KUMA — это рабочие станции, серверы и сетевое оборудование вашей организации. Вы можете импортировать активы в KUMA для получения дополнительной информации об устройствах при анализе событий и расследовании инцидентов: IP-адрес, владельца, ОС, данные о ПО и «железе», а также сведения об уязвимостях.

Активы в KUMA можно добавить следующими способами:

Импортировать активы:
- Из отчетов сканеров уязвимостей:
  - MP8 Scanner;
  - MaxPatrol VM;
  - RedCheck;
  - Nessus;
  - OWASP ZAP.
- По расписанию: из Kaspersky Security Center и KICS for Networks.
Создать активы вручную через веб-интерфейс или с помощью API.

Пользователь KUMA может:

Просматривать информацию об активах.
Искать активы.
Добавлять активы, редактировать их и удалять.
Экспортировать данные об активах в CSV-файл.

Ниже рассмотрен процесс импорта активов из Kaspersky Security Center.

Чтобы выполнить импорт информации об активах из Kaspersky Security Center:

Откройте веб-интерфейс KUMA и перейдите в раздел Параметры → Интеграции → Kaspersky Security Center.
Выберите тенант, в котором ранее было создано подключение к Kaspersky Security Center.
В окне Kaspersky Security Center нажмите на созданное подключение к KSC и в появившемся окне Изменить подключение нажмите Загрузить для загрузки иерархии групп активов KSC.
Отобразится иерархия групп активов KSC. Выберите группы, устройства из которых необходимо импортировать.
Дополнительно активируйте параметр Импортировать активы из новых групп. Это позволит при добавлении новых групп в KSC автоматически импортировать из них активы.
Нажмите на кнопку Импортировать активы KSC. Будет создана задача по импорту активов.
Нажмите на кнопку Импортировать атрибуты активов KSC. Будет создана задача по импорту атрибутов активов.
Нажмите Сохранить.

В окне Kaspersky Security Center также нажмите Сохранить.
Перейдите в раздел Диспетчер задач.
Нажмите на задачу Импорт активов KSC со статусом Завершено. В окне справа Информация о задаче будет указано количество активов, информация о которых была импортирована в KUMA.

Нажмите на задачу Импорт атрибутов активов KSC со статусом Завершено. В окне справа Информация о задаче будет указано количество активов, для которых была импортирована информация об атрибутах.

Информация об активах и их атрибутах успешно импортирована.

Чтобы просмотреть информацию об импортированных активах:

Перейдите в раздел Активы → выберите один из активов в списке.
В окне справа отобразится информация об активе.

Настройка обогащения событий информацией об активах

Начиная с версии 4.0 KUMA обогащение активами настраивается вручную. Возможность ручной настройки правила обогащения типа "Обогащение активами" позволяет самостоятельно выбрать поля, в которых содержится информация об активе для сопоставления с базой импортированных активов, помимо стандартных SourceAddress/DestinationAddress, SourceHostName/DestinationHostName и других.

Создание правила обогащения в KUMA

Чтобы настроить обогащение событий информацией об активах создайте правило обогащения:

В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Правила обогащения.
Нажмите на кнопку Создать.
В появившемся окне Создание правила обогащения:
- В поле Название введите уникальное имя правила.
- В раскрывающемся списке Тенант выберите, к какому тенанту относится этот ресурс.
- В раскрывающемся списке Тип источника данных выберите обогащение активами.
- Опционально добавьте Описание.
- В секции Сопоставление нажмите Применить сопоставление по умолчанию.
Нажмите Создать.

Далее созданное правило обогащения необходимо применить в Коллекторах, в событиях которых есть поля, указанные в секции Сопоставление (см. выше). Примеры источников для которых можно настроить данный тип обогащения: Windows (WEC/WMI, сбор событий Windows с помощью KES), Linux, KSC/KES, NGFW, Netflow.

Данный перечень источников не является исчерпывающим. Вы также можете настраивать собственное сопоставление полей KUMA и полей для записи данных.

Применение правила обогащения в коллекторе

На примере коллектора для приема событий Windows, пересылаемых KES.

Чтобы добавить созданное правило обогащения в Коллекторе:

Перейдите в раздел Ресурсы → Активные сервисы.
Выберите Коллектор, который используется для приема и обработки событий Windows, пересылаемых KES.

В окне Редактирование коллектора перейдите на шаг Обогащение событий и нажмите Добавить обогащение.
В поле Правило обогащения выберите ранее созданное правило обогащения.

Перейдите на шаг Проверка параметров и нажмите Сохранить и обновить параметры сервисов.
Нажмите Сохранить.

Проверка обогащения событий информацией об активах

Чтобы проверить, что обогащение событий информацией об активах успешно выполняется:

Перейдите в раздел Ресурсы → Активные сервисы.
Выберите Коллектор, который используется для приема и обработки событий Windows, пересылаемых KES.
Нажмите ПКМ на Коллектор и выберите Перейти к событиям.

В разделе События дополните условие поискового запроса и приведите его к следующем виду для поиска событий, обогащенных информацией об активах:

SELECT * FROM `events` WHERE (DeviceAssetID != '' OR SourceAssetID !='' OR DestinationAssetID !='') AND ServiceID = '<ID-сервиса Коллектора>' ORDER BY Timestamp DESC LIMIT 250

Нажмите Выполнить запрос.
Выберите одно из событий и убедитесь, что в карточке события присутствуют поля DeviceAssetID и/или SourceAssetID/DestinationAssetID с информацией об активе.

Коллекторы KUMA периодически получают списки активов от ядра KUMA и хранят их памяти в виде таблиц, позволяющих определить AssetID по IP адресу и/или FQDN.

При поступлении события в коллектор, коллектор выполняет:

нормализацию данных в поля события KUMA;
если в событии содержится информация о SourceAddress, Destination Address, DeviceAddress, SourceHostName, DestinationHostName, DeviceHostName коллектор выполняет поиск IP - AssetID и/или FQDN - AssetID;
если информация об активе найдена, AssetID проставляется в соответствующее поле нормализованного события;
в общем случае, в нормализованное событие могут быть проставлены 3 типа AssetID: SourceAssetID, DestinationAssetID, DeviceAssetID.

Работа с активами

Создание категории активов

Вы можете разбить активы по категориям и затем использовать категории активов в условиях фильтров или правил корреляции. Например, можно создавать алерты более высокого уровня важности для активов из более критичной категории. По умолчанию все активы находятся в категории Активы без категории. Устройство можно добавить в несколько категорий.

По умолчанию в KUMA категориям активов присвоены следующие уровни критичности: Low, Medium, High, Critical. Вы можете создать пользовательские категории и организовать вложенность.

Категории активов можно наполнять следующими способами:

Вручную
Активно: динамически, если актив соответствует заданным условиям. Например, с момента перехода актива на указанную версию ОС или размещения актива в указанной подсети актив будет перемещен в заданную категорию.
Реактивно: при ~~срабатывания~~срабатывании корреляционного правила актив будет перемещаться в указанную группу.

Чтобы добавить категорию активов:

Перейдите в раздел Активы веб-интерфейса KUMA.
Выберите категорию Main/Categorized assets и нажмите Добавить подкатегорию.
В появившемся окне Добавить категорию укажите:
- В поле Название введите название категории.
- Опционально в поле Родительская категория укажите место категории в дереве категорий.
- В поле Тенант отображается тенант, в структуре которого вы выбрали родительскую категорию.
- В раскрывающемся списке Способ категоризации выберите, как категория будет пополняться активами (в нашем примере будет использоваться способ Активно). В зависимости от выбора может потребоваться указать дополнительные параметры:
  - Вручную – активы можно привязать к категории только вручную.
  - Активно – активы будут с определенной периодичностью привязываться к категории, если удовлетворяют заданному фильтру.
  - Реактивно – категория будет наполняться активами с помощью правил корреляции.
- Назначьте уровень важности категории в раскрывающемся списке Уровень важности (в нашем примере будет использоваться уровень важности Критический).
- В раскрывающемся списке Регулярность категоризации укажите периодичность, с которой активы будут привязываться к категории (выберите 24 часа).
- В блоке параметров Условия укажите фильтр, которому должны соответствовать активы для привязывания к категории (укажите собственное условие фильтра или согласно скриншоту ниже, указав в условии Полное доменное имя наименование тестовой рабочей станции).
- С помощью кнопки Проверить условия убедитесь, что указанный фильтр верен: при нажатии на кнопку отображается окно Активы, найденные по заданным условиям с перечнем активов, удовлетворяющих условиям поиска.
- Нажмите Сохранить.

Новая категория добавлена в дерево категорий активов.

Поиск активов

В KUMA есть два режима поиска активов. Переключение между режимами поиска осуществляется с помощью кнопок в верхней левой части окна:

· – простой поиск по параметрам активов Название, Полное доменное имя, IP-адрес, MAC-адрес и Владелец.

· – сложный поиск активов с помощью фильтрации по условиям и группам условий.

Чтобы выполнить простой поиск:

В разделе Активы веб-интерфейса KUMA убедитесь, что напротив поля Поиска активна кнопка
Введите поисковый запрос в поле Поиск и нажмите ENTER или значок.
В таблице отобразятся активы, у которых параметры Название, Полное доменное имя, IP-адрес, MAC-адрес и Владелец соответствуют критериям поиска.

Чтобы выполнить cложный поиск:

В разделе Активы веб-интерфейса KUMA убедитесь, что напротив поля Поиска активна кнопка
Добавьте условие фильтрации (можно добавить несколько условий, используя кнопку Добавить условие или создать Группу условий) и нажмите Поиск.
В таблице отобразятся активы, которые соответствуют критериям поиска.

Экспорт данных об активах

Данные об активах, отображаемых в таблице активов, можно экспортировать в виде CSV-файла.

Чтобы экспортировать данные об активах:

Перейдите в раздел Активы и выполните настройку таблицы активов. В файл записываются только данные, указанные в таблице. Порядок отображения столбцов таблицы активов повторяется в экспортированном файле.

Выполните поиск нужных активов, выберите их, установив рядом с ними флажки. При необходимости вы можете выбрать сразу все активы в таблице, установив флажок в левой части заголовка таблицы активов.

3. Нажмите на кнопку Экспортировать в CSV.

Данные об активах будут записаны в файл assets_<дата экспорта>_<время экспорта>.csv и загружены автоматически.

Полезные ссылки

Статья онлайн-справки «Управление активами»: https://support.kaspersky.ru/kuma/4.0/217935