Интеграция с Kaspersky MDR

⚠️ Информация, приведеннаяприведённая на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Предварительные

Интеграция с ролью Администратор, сгенерируйте токен для взаимодействия по API и разрешите доступ к следующим методам API:

Если для создаваемых в консоли MDR инцидентов в поле "Тенант" отсутствует значение, добавьте значение "Корень без тенанта", чтобы скрипт при подключении обнаружил данные инциденты

git clone https://github.com/KUMA-Community/MDR-integrations.git

Описание интеграции

Описанная в данной статье интеграцияИнтеграция с Kaspersky Managed Detection and Response позволяет автоматически импортировать инциденты из консоли MDR в KUMA. Скрипт периодически опрашивает API MDR, получает новые инциденты и создаёт соответствующие записи в KUMA через её API.

Предварительные требования

1. Сетевой доступ

На пограничном межсетевом экране создайте правило, разрешающее доступ к mdr.kaspersky.com по порту TCP/443.

2. Настройка пользователя и токена в KUMA

git clone https://github.com/KUMA-Community/MDR-integrations.git

cat cert1.pem cert2.pem cert3.pem > mdr.pem

unzip MDR-integrations-main.zip -d /opt/

Уберите лишнююлишний вложенность (уровень MDR-integrations-main):

mv /opt/MDR-integrations-main/mdr_integration /opt/

rm -rf /opt/MDR-integrations-main

Шаг

Перейдите в папку /opt/mdr_integration/confс конфигурацией и создайте файл config.yml из шаблона sample_config.yaml:

cd /opt/mdr_integration/conf
cp sample_config.yml config.yml

Отредактируйте файл config.yml:

• В секции General settings укажите client_id (значение client_idClientID из консоли MDR).
• В секции Modules settings → -> kuma укажите:
  • api_url — FQDN или IP-адрес с портом API KUMA (FQDN/IP:по умолчанию порт API-интерфейса KUMA, по умолчанию, 7223)7223).
  • api_token (гененируется— втокен, процессесгенерированный созданияпри учетнойсоздании учётной записи пользователя KUMA)
    KUMA.
  • tenant_id (тенант,— идентификатор тенанта KUMA, в котором будут создаваться инциденты)инциденты.

Как получить tenant_id: Откройте в KUMA раздел Аудит, найдите любое событие, связанное с нужным тенантом, и скопируйте значение поля TenantID.

Шаг 3. Настройка токенов

Скрипт использует два файла токенов:

TenantIDСоздайте можнооба получитьфайла из события аудита KUMA.

touch /opt/mdr_integration/conf/.refresh_token

touch /opt/mdr_integration/conf/.access_token

Запишите

echo -n 'ВСТАВЬТЕ_ТОКЕН_ЗДЕСЬ' > /opt/mdr_integration/conf/.refresh_token

После добавления токена в файл .refresh_token проверьте, что вВ конце файла отсутствуетне должно быть символа новой строки (\n) — иначе аутентификация завершится ошибкой. Флаг -n в команде echo предотвращает его добавление. Если вы вставили токен вручную, проверьте и при необходимости удалите символ новой строки \n , из-за которого попытка аутентификации будет неуспешной. См. команды ниже:
строки:

# проверяемПроверяем наличие символа новой строки (результат "1" означает, что он есть)
wc -l /opt/mdr_integration/conf/.refresh_token

# еслиЕсли вывод "1 .refresh_token", то— удаляем символ
perl -p -i -e 'chomp if eof' /opt/mdr_integration/conf/.refresh_token

# проверяем,Проверяем чтоповторно символ(должен новойбыть строкивывод успешно"0 удален.refresh_token")
wc -l /opt/mdr_integration/conf/.refresh_token
# должен быть вывод "0 .refresh_token"

• Перейдите

  Шаг в4. папкуУказание /opt/mdr_integration/confначальной иточки всбора инцидентов

  В файле .last_check укажите время,момент времени, начиная с которого необходимо начатьнужно собирать инциденты. Значение задаётся в миллисекундах (Unix timestamp × 1000, 13 цифр).

  Для получения нужного значения используйте команду:

  # Пример: получить timestamp для 1 января 2024 00:00:00
  date -d "2024-01-01 00:00:00" +%s000
  

  Запишите полученное значение в файл:

  echo -n '1704060000000' > /opt/mdr_integration/conf/.last_check
  

  Для теста можноукажите указатьвремя, времянезадолго до появления последнего инцидента.известного Форматинцидента в милисекундах,MDR.

  то

  есть

  Шаг должно5. бытьОбновление 13сертификата

  цифр (пример, 1672520400000)
  

Замените существующий файл сертификата по умолчанию на актуальный, подготовленный в разделе «Предварительные требования»:

cp /path/to/mdr.pem /opt/mdr_integration/conf/mdr.pem
на

Шаг (см.6. этапПроверка "Предварительныеработоспособности

Перейдите

cd /opt/mdr_integration
python3 ./main.py

Если при запуске скрипта появляютсяпоявятся сообщения об отсутствииотсутствующих необходимыхпакетах, пакетовустановите их:

pip3 install -r выполнитеrequirements.txt
их

Если после запуска скрипта в консоли отсутствуюнет ошибкиошибок (кроме предупрежденийпредупреждения о невалидном сертификате),сертификате значитдопустимы) — интеграция работает корректно.

Лог работы скрипта пишетсязаписывается вв:

/opt/mdr_integration/log/app.log

Убедитесь, что выполненинциденты импорт инцидентов, созданных виз консоли MDR, созданные начиная с момента времени,момента, указанного в файле .last_check, появились в KUMA.

nohup python3 /opt/mdr_integration/main.py &

Шаг

Настройте автоматический запуск скрипта послечерез перезагрузки сервера:

sudo crontab -e

Добавьте строку:

@reboot sleep 300 && python3 /opt/mdr_integration/main.py &
#

Задержка sleep в300 (5 минутминут) добавлен,необходима, чтобы сервис kuma-core успел стартоватьзапуститься

до начала работы скрипта.