Skip to main content

Путь новичка в KUMA

Добро пожаловать в базу знаний KUMA SIEM. Эта страница проведёт вас от знакомства с системой до первых алертов — последовательно, шаг за шагом.

Путь изучения 👶➡️👦➡️🥷

1. 📚 Что такое SIEM и архитектура KUMA

Разберитесь с основами до установки

2. ⚙️ Подготовка инфраструктуры

Подготовьте инфраструктуру для успешного развертывания KUMA

ℹ️ Настройка сетевых доступов между компонентами требуется в случае использования варианта с распределенной установкой компонентов KUMA.

3. 💿 Установка и базовая настройка KUMA

Установите KUMA и выполните первоначальные шаги по настройке

4. 📊🗃️ Нормализация, модель данных и хранение событий

Узнайте какая модель данных используется в KUMA, изучите как происходит нормализация (парсинг), обогащение и хранение событий

5. 🔌 Подключение источников событий

Подключение источников событий — это ключевой процесс для обеспечения безопасности и мониторинга ИТ-инфраструктуры. KUMA собирает, анализирует и коррелирует данные из различных источников для выявления аномалий, подозрительных действий и потенциальных атак.

В качестве источников могут выступать:

  • Сетевые устройства: маршрутизаторы, коммутаторы, межсетевые экраны (например, Cisco ASA, Palo Alto).
  • Рабочие станции/серверы под управлением ОС Windows и Linux.
  • Инфраструктурные сервисы: Active Directory, DNS, DHCP, почтовые серверы.
  • Приложения: веб-серверы (например, Apache, IIS), базы данных (например, MySQL, MSSQL).
  • Системы безопасности: антивирусы, IDS/IPS (системы обнаружения и предотвращения вторжений), VPN и другие.
  • Облачные сервисы.
  • Устройства IoT.
  • И другие.

Начните с ключевых и подключайте поэтапно:

6. 🔎 Работа с событиями

События собираются с источников, как с ними работать?

7. ⛓️‍💥 Интеграции

Получите дополнительные возможности за счет взаимодействия с другими системами

8. 🚨 Правила корреляции и детектирование

Загрузите готовый контент — первые алерты появятся без написания правил вручную.

Узнайте, как написать свои правила.

8. 🕵️ Работа с алертами и инцидентами

Алерты,Проведите расследование, реагирование, отчётностьрасследование и оценкавыполните эффективностидействия SOC.по реагированию

9. 📊 Мониторинг и отчетность

Визуализируйте собранные данные

    Панель мониторинга Отчеты

    10. 🤖 Сервисы ИИ

    «Мне нужны твоя одежда, ботинки и мотоцикл алерты» (c)

      KIRA Скоринг активов Выявление атак DLL Hijacking

      11. 🧑‍💻 Эксплуатация KUMA

      НастройтеОтслеживайте интеграциисостояние KUMA с другими нашими продуктами,источников и несоздайте только.резервную Это даст дополнительные возможностикопию

      10.12. 📹 Видео материалыВидеоматериалы

      Серия коротких видео по KUMA:

      ⚠️ Частые проблемы

      🔴 Нет событий в системе

        Проверьте подключение источника и настройки коннектора Убедитесь в сетевой доступности — порты, firewall, маршрутизация Проверьте статус коллектора: systemctl status kuma-collector-* Смотрите логи в /opt/kaspersky/kuma/

        → Раздел траблшутинга в KB

        🟠 События поступают, но не парсятся

          Проверьте, правильный ли нормализатор привязан к коллектору Убедитесь, что формат лога соответствует ожидаемому нормализатором Используйте встроенный тестировщик нормализаторов в интерфейсе KUMA

          → Cookbook по нормализации

          🟠 Нет алертов

            Убедитесь, что правила корреляции активны и привязаны к коррелятору Проверьте, что поток событий проходит через нужный коррелятор Загрузите Community Pack для быстрого старта с готовыми правилами

            → Community Pack

            🟡 Ошибки при установке

              Имя сервера должно быть FQDN, например kuma.demo.lab Не создавайте пользователя kuma вручную — он создаётся автоматически Раздел /opt должен быть выделен отдельно (минимум 500 GB) Проверьте SELinux: sestatus — должен быть отключён

              → Раздел установки в KB

              🟡 Высокая нагрузка / низкая производительность

                Проверьте объём входящих событий (EPS) Оцените количество активных правил и их сложность Рассмотрите горизонтальное масштабирование коллекторов Для высоких нагрузок используйте распределённую или RAFT-установку

                🎥 Видеоматериалы

                  Обзор KUMA Серия коротких видео (YouTube) Серия коротких видео (RuTube) Работа с правилами корреляции Работа с нормализаторами

                  13. ⚠️ FAQ

                  14. ✍️ PoC Чек-лист

                  У меня пилот, что нужно протестировать?

                  15. 🧰 Полезные ресурсы

                  Back to top