Skip to main content

Реагирование на алерты и инциденты

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Одним из шагов расследования алерта или инцидента является реагирование, направленное на сдерживание (Containment) угрозы/злоумышленника или устранение (Eradication) угрозы.

Сдерживание (Containment)

Цель: Ограничить распространение угрозы/злоумышленника и минимизировать ущерб.

Примеры возможных действий:

  • Изоляция зараженных систем/сетевых сегментов/хостов.
  • Блокировка вредоносных IP-адресов или доменов.
  • Временное отключение сервисов, если это необходимо.

Устранение (Eradication)

Цель: Полностью устранить причину инцидента.

Примеры возможных действий:

  • Удаление вредоносного ПО или вредоносных скриптов.
  • Закрытие уязвимостей, которые были использованы злоумышленниками.
  • Обновление систем и приложений до актуальных версий.
  • Смена скомпрометированных учетных данных (паролей, ключей).

За счет интеграции с другими решениями KUMA позволяет производить действия по реагированию:

  • Реагирование через Kaspersky Security Center:
    • Запуск обновления антивирусных баз и модулей Kaspersky Endpoint Security для Windows или Linux;
    • Запуск задачи поиска вредоносного ПО.
  • Реагирование через KEDR:
    • Управление сетевой изоляцией активов.
    • Управление правилами запрета (по хеш-сумме файла).
    • Запуск программы. 
  • Реагирование через KICS for Networks:
    • Изменение статуса устройства на Разрешенное
    • Изменение статуса устройства на Неразрешенное 
  • Реагирование через Active Directory:
    • Добавление учетной записи в группу.
    • Удаление учетной записи из группы.
    • Сброс пароля учетной записи.
    • Блокировка учетной записи.
  • Выполнение произвольного скрипта на сервере коррелятора KUMA.

Действия по реагированию могут запускаться вручную из веб-интерфейса KUMA или автоматически с помощью правил реагирования.

Статья онлайн-справки «Интеграция с другими решениями»
https://support.kaspersky.ru/kuma/4.0/217927

Статья KUMA Community «Реагирование» (доступны «кастомные» интеграции со сторонними решениями):
https://kb.kuma-community.ru/books/integracii/chapter/reagirovanie

Ниже рассмотрен пример ручного реагирования средствами Kaspersky Security Center.

Создание задач в Kaspersky Security Center

Предварительно выполните шаги по настройке интеграции с Kaspersky Security Center, описанные в Статье Интеграция с Kaspersky Security Center.

Вы можете вручную или автоматически запускать на активах Kaspersky Security Center, импортированных в KUMA, задачу обновления антивирусных баз и модулей программы и задачу поиска вредоносного ПО. На активах должны быть установлены программы Kaspersky Endpoint Security для Windows или Linux.

Предварительно на стороне Kaspersky Security Center необходимо создать задачи обновления антивирусных баз и поиска вредоносного ПО.

Kaspersky Security Center Web Console

Чтобы создать задачу поиска вредоносного ПО:

  • Выберите Активы (Устройства) → Задачи.
  • В Списке задач нажмите на кнопку Добавить.
  • Запустится мастер создания задачи.
  • Настройте параметры задачи:
    • В раскрывающемся списке Приложение выберите используемое приложение Kaspersky Endpoint Security для Windows (в нашем примере 12.8.0).
    • В раскрывающемся списке Тип задачи выберите Поиск вредоносного ПО.
    • В поле Название задачи введите название создаваемой задачи. Важно в названии задачи указать префикс «KUMA». Задачи для Kaspersky Endpoint Security с данным префиксом в дальнейшем будут доступны в интерфейсе KUMA.
    • В блоке Устройства, которым будет назначена задача выберите Задать адреса устройств вручную или импортировать из списка. 

image414.png

  • Нажмите на кнопку Далее.
  • В окне Область действия задачи нажмите Добавить устройства. В окне справа Добавить устройства выберите Выбрать устройства, обнаруженные в сети Сервером администрирования. Для создания задачи можно указать любое устройство. KUMA будет передавать имена устройств, на которых нужно запустить задачу поиска вредоносного ПО.

image415.png

  • Нажмите Добавить и затем Далее.
  • В окне Выбор учетной записи для запуска задачи укажите Учетная запись по умолчанию. Нажмите Далее.
  • Завершите работу мастера, нажав кнопку Готово.
  • В открывшемся окне свойств задачи перейдите на вкладку Параметры приложения и укажите Области проверки. В рамках тестирования можно уменьшить область проверки. В дальнейшем эту настройку можно изменить.

image415.png

  • В секции Действие при обнаружении угрозы снимите флажок Выполнять только во время простоя компьютера.

image416.png

  • Перейдите на вкладку Расписание и убедитесь, что для параметра Запуск задачи указано Вручную.

image417.png

  • Нажмите Сохранить.

Задача поиска вредоносного ПО создана.

Далее создадим задачу обновления антивирусных баз и модулей.

Чтобы создать задачу обновления антивирусных баз и модулей:

  • Выберите Активы (Устройства) → Задачи.
  • В Списке задач нажмите на кнопку Добавить
  • Запустится мастер создания задачи.
  • Настройте параметры задачи:
    • В раскрывающемся списке Приложение выберите используемое приложение Kaspersky Endpoint Security для Windows (в нашем примере 12.8.0).
    • В раскрывающемся списке Тип задачи выберите Обновление.
    • В поле Название задачи введите название создаваемой задачи. Важно в названии задачи указать префикс «KUMA». Задачи для Kaspersky Endpoint Security с данным префиксом в дальнейшем будут доступны в интерфейсе KUMA.
    • В блоке Устройства, которым будет назначена задача выберите Задать адреса устройств вручную или импортировать из списка. 

image418.png

  • Нажмите на кнопку Далее.
  • В окне Область действия задачи нажмите Добавить устройства. В окне справа Добавить устройства выберите Выбрать устройства, обнаруженные в сети Сервером администрирования. Для создания задачи можно указать любое устройство. KUMA будет передавать имена устройств, на которых нужно запустить задачу обновления антивирусных баз.

image.png

  • Нажмите Добавить и затем Далее.
  • В окне Выбор учетной записи для запуска задачи укажите Учетная запись по умолчанию. Нажмите Далее.
  • Завершите работу мастера, нажав кнопку Готово.
  • В открывшемся окне свойств задачи перейдите на вкладку Параметры приложения и при необходимости отредактируйте Источники обновлений и Настройки обновлений.

image419.png

  • Перейдите на вкладку Расписание и убедитесь, что для параметра Запуск задачи указано Вручную.

image420.png

  • Нажмите Сохранить.

Задача обновления антивирусных баз и модулей создана.

Реагирование вручную средствами Kaspersky Security Center

Чтобы запустить реагирование средствами Kaspersky Security Center вручную:

  • Перейдите в Алерты и выберите алерт, в рамках которого необходимо запустить действие по реагированию. В нашем примере это алерт R220_Сбор информации об учетных записях (см. статью Работа с алертами)
    2.алертами    )
  • В карточке алерта в разделе Связанные активы выберите актив для запуска задачи.
    3.
  • В появившемся окне Информация об активе нажмите Запустить задачу.

 

 

 

 

 

 

 

Алерт задачу- это уведомление (оповещение), создаваемое в KUMA, при получении события или последовательности событий, которое приводит к срабатыванию правила корреляции.

KUMA автоматически присваивает уровень важности каждому алерту. Уровень важности отражает насколько критичны для безопасности действия/выполненные команды/запущенные процессы и файлы, обнаруженные в событии. Уровень важности зависит от уровня важности сработавшего правила корреляции и категории актива, который вовлечен в алерт.
Возможные значения уровня важности:

    Низкий Средний Высокий Критический.

    image377.pngimage421.png

    image378.png

    В первую очередь следует обрабатывать алерты с более высоким уровнем важности. Значение уровня важности автоматически обновляется при получении новых корреляционных событий в результате срабатывания правил корреляции, но аналитик также может задать уровень важности вручную. В этом случае уровень важности алерта больше не обновляется автоматически.
    В разделе Алерты веб-интерфейса KUMA можно просматривать и обрабатывать алерты, зарегистрированные KUMA. 

    Жизненный цикл алертов

      KUMA создает алерт при срабатывании правила корреляции. Алерт именуется по породившему его правилу корреляции. Алерту присваивается статус Новый. Алерты в статусе Новый продолжают наполняться данными при последующих срабатываниях того же правила корреляции (если не используются правила сегментации). При изменении статуса алерта на любой другой, алерт больше не обновляется и, если правило корреляции срабатывает снова, создается новый алерт.

      С помощью правил сегментации поток однотипных корреляционных событий можно разделять, создавая более одного алерта.

        Алерт назначается пользователю (аналитику) для дальнейшего расследования. Статус алерта меняется на Назначен. Аналитик выполняет одно из следующих действий:
          Закрывает алерт как ложно положительный (статус алерта меняется на Закрыт). Реагирует на угрозу и закрывает алерт (статус алерта меняется на Закрыт). Создает на основе алерта инцидент (статус алерта меняется на В инциденте).

          Наполнение алертов событиями

          По умолчанию количество привязанных событий к алерту не может превышать 10 000. Когда количество событий привязанных к алерту достигает 10 000, создается новый алерт с таким же названием, но новым идентификатором. Идентификатор алерта можно просмотреть в деталях алерта. При необходимости вы можете изменить это значение в свойствах правила сегментации в поле Количество корреляционных событий. Правило сегментации при этом должно быть включено и привязано к правилам корреляции алертов тенанта.

          Поиск алертов

          Чтобы выполнить поиск алертов:

            Перейдите в Алерты Введи в поле Поиск искомое имя алерта, например, «KUMA»

            Пример алерта с именем «KUMA» будет доступен при создании правила типа Simple или Standard.

              Убедитесь, что в таблице отображаются только алерты в названии, которых содержится слово "KUMA"

              image379.png

              Параметры, по которым производится поиск:
              •    Активы: название, FQDN, IP-адрес.
              •    Учетные записи Active Directory: атрибуты displayName, SAMAccountName, UserPrincipalName.
              •    Корреляционные правила: название.
              •    Пользователи KUMA, которым назначены алерты: имя, логин, адрес электронной почты.
              •    Тенанты: название.

              При нажатии на заголовки столбцов вы можете просмотреть значения для фильтрации алертов. При фильтрации алертов по какому-либо параметру соответствующий заголовок таблицы алертов подсвечивается желтым цветом.

              image380.png

              image381.png

              Чтобы сохранить текущие параметры фильтрации алертов:

                В разделе Алерты откройте раскрывающийся список Фильтры. Выберите Сохранить текущий фильтр. Появится поле для ввода названия нового фильтра и выбора тенанта, которому он будет принадлежать. Введите название фильтра. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать фильтр, и нажмите Сохранить.
                Фильтр сохранен.

                image382.png

                Чтобы сбросить текущие настройки фильтра, откройте раскрывающийся список Фильтры и выберите ОчиститьРеагирование фильтры.

                Просмотр информации об алерте

                Для примера можно использовать уже сформированный алерт в KUMA (при наличии) или выполнить следующие действия для создания алерта:

                  Убедитесь, что правила R220_02_Сбор информации об учетных записях стандартными средствами WindowsKSC и далее ранее созданную задачу R220_СборKUMA информацииОбновление обантивирусных учетныхбаз записяхи модулей привязаны(перед кзапуском коррелятору.задачи Для этого:
                    Перейдите в Ресурсы → Активные сервисы Выберите сервис коррелятора В окне Редактирование коррелятора перейдите на шаг Корреляция В полеKUMA Поиск вредоносноговведите «220» Убедитесь, что правила R220_02_Сбор информации об учетных записях стандартными средствами WindowsПО ивыполним R220_Сборзадачу информацииобновления обдля учетныхполучения записяхнаиболее присутствуютактуальных всигнатур списке.вредоносного Если правила отсутствуют в списке выполните привязку правил аналогично статьям Простое правило (simple) и Стандартное правило (standard)ПО).
                      

                    image383.pngimage422.png

                    • Убедитесь,

                      Нажмите Запустить.

                    Задача обновления на выбранном активе запущена.
                    Чтобы убедиться, что событиязадача Windowsбыла Aзапущена newи processзавершена hasуспешно been created (Event ID 4688) поступают с тестовой рабочей станции. Для этого: Перейдитеперейдите в раздел События .и Укажитевыполните следующий поисковый запрос: 

                    SELECT * FROM `events` WHERE FlexString2 = 'KUMA Обновление антивирусных баз и модулей' AND DeviceEventClassID = '4688'KLPRCI_TaskState' AND DeviceHostNameDeviceProduct = '<имя тестовой рабочей станции>'KSC' ORDER BY Timestamp DESC LIMIT 250
                        Нажмите Выполнить запрос Убедитесь, что события A new process has been created отображаются в таблице событий. Если события A new process has been created отсутствуют в таблице событий выполните настройку сбора событий с EventID 4688 одним из описанных способов.

                        image384.png

                          На тестовой рабочей станции запустите командую строку и выполните команду whoami для отображения имени текущего пользователя.

                          image385.png

                            В веб-интерфейсе KUMA перейдите в раздел Алерты и убедитесь, что алерт R220_Сбор информации об учетных записях появился в таблице алертов.

                            image386.pngimage423.png

                            ЧтобыТакже просмотретьстатус информациювыполнения обзадачи алерте:можно посмотреть в консоли Kaspersky Security Center или непосредственно в интерфейсе приложения Kaspersky Endpoint Security.

                            image424.png

                            Далее запустите ранее созданную задачу KUMA Поиск вредоносного ПО:

                            • Перейдите в раздел Алерты .
                            и Нажмитевыберите наалерт, названиев алерта,рамках информациюкоторого онеобходимо которомзапустить выдействие хотитепо просмотреть.реагированию. В нашем примере это алерт R220_Сбор информации об учетных записях.записях. Откроется окно с информацией об алерте.
                            В верхней части окна с информацией об алерте расположена панель инструментов, а также указаны уровень важностикарточке алерта и имя пользователя, которому назначен этот алерт. В этом окне можно обработать алерт: изменить его уровень важности, назначить его пользователю, закрыть, создать на его основе инцидент (подробнее см. Раздел Обработка алертов).

                            image387.png

                            Раздел Информация об алерте

                            Этот раздел позволяет просмотреть основную информацию об алерте. Он содержит следующие данные:

                              Уровень важности правила корреляции – уровень важности правила корреляции, в результате срабатывания которого создан алерт. Наивысшая важность категории активов – самый высокий уровень важности категории активов из тех, которые принадлежат связанным с этим алертом активам. Если с алертом связано несколько активов, отображается наибольшее значение. Привязан к инциденту – если алерт привязан к инциденту, то отображаются название и статус алерта. Если алерт не привязан к инциденту, поле не заполнено. Первое появление – дата и время создания первого корреляционного события, приведшего к созданию алерта.
                              Последнее появление – дата и время создания последнего корреляционного события, приведшего к созданию или обновлению алерта. Идентификатор алерта – уникальный идентификатор алерта в KUMA. Тенант – название тенанта, которому принадлежит алерт. Правило корреляции – название правила корреляции, в результате срабатывания которого создан алерт. Название правила представлено в виде ссылки, по которой можно перейти к настройкам этого правила корреляции.

                              image388.png

                              Раздел Связанные события

                              Этот раздел содержит таблицу событий, относящихся к алерту. Если нажать на значок image389.png  рядом с корреляционным событием, отобразятся базовые события, которые стали триггером срабатывания правила корреляции.

                              Базовое событие. Событие, которое было получено от источника и было нормализовано.
                              Корреляционное событие. При обнаружении события или последовательности событий, удовлетворяющих условиям правила корреляции, коррелятор создает корреляционное событие.

                              В нашем примере используется «вложенное» правило корреляции R220_02_Сбор информации об учетных записях стандартными средствами Windows, срабатывание которого приводит к срабатыванию вышестоящего (обобщающего) правила R220_Сбор информации об учетных записях. Поэтому при нажатии на значок image389.png  отображается сначала еще одно корреляционное событие (результат срабатывания R220_02_Сбор информации об учетных записях стандартными средствами Windows), а уже затем отображается базовое событие.

                              image390.png

                              image391.png

                              При выборе события в таблице открывается область деталей, содержащая информацию о выбранном событии. 

                              image392.png

                              image393.png

                              Кнопка Найти в событиях справа от заголовка раздела используется для перехода к расследованию алерта.

                              Подробнее про расследование алерта:
                              https://support.kaspersky.ru/kuma/4.0/217847

                              Пример расследования инцидента с помощью KUMA:
                              https://support.kaspersky.ru/kuma/4.0/245892

                              С помощью кнопки Скачать события вы можете скачать информацию о связанных событиях в виде файла в формате CSV (в кодировке UTF-8). 

                              Раздел Связанные активы

                              Этот раздел содержит таблицу активов, связанных с алертом. Информация об активах поступает из событий, связанных с алертом. С помощью поля Поиск по IP или FQDN можно искать нужные активы. Активы можно сортировать по столбцам Количество и Актив.

                              image394.png

                              При нажатии на название актива открывается окно Информация об активе, в котором можно посмотреть владельца актива, состояние защиты (статусы KSC), информацию о ПО, аппаратном обеспечении и уязвимостях (опционально). 

                              image395.png

                              image396.png

                              С помощью кнопки Скачать активы вы можете скачать информацию о связанных активах в виде файла в формате CSV (в кодировке UTF-8). 

                              Раздел Связанные пользователи

                              Этот раздел содержит таблицу пользователей, относящихся к алерту. Информация о пользователях поступает из событий, связанных с алертом. С помощью поля Поиск пользователей можно искать нужных пользователей. Пользователей можно сортировать по столбцам Количество, Пользователь, User principal name (Основное имя пользователя) и Адрес электронной почты.

                              image397.pngПри нажатии на имя пользователя открывается окно Информация об учетной записи, в котором можно посмотреть данные учетной записи: в каких группах состоит учетная запись, UAC, контактные данные, местонахождение пользователя и другие атрибуты, которые были импортировать из MS Active Directory.

                              image398.png

                              С помощью кнопки Скачать пользователей вы можете скачать информацию о связанных пользователях в виде файла в формате CSV (в кодировке UTF-8). 

                              Раздел Журнал изменений

                              Этот раздел содержит записи об изменениях, которые пользователи внесли в алерт. Изменения регистрируются автоматически, при этом есть возможность вручную добавлять комментарии. Комментарии можно сортировать по столбцу Время.

                              Например, назначьте алерт пользователю Administrator. Статус алерта изменится c Новый на Назначен.

                              image399.png

                              image400.png

                              Убедитесь, что в разделе ЖурналСвязанные изменений появилась запись о назначении алерта пользователю Administrator.

                              image401.png

                              При необходимости в поле Комментарийактивы вывыберите можете внести комментарий к алерту и нажать Добавить, чтобы сохранить его.

                              Обработка алертов

                              Вы можете изменить уровень важности алерта, назначить алерт пользователю, закрыть алерт или создать на основе алерта инцидент.

                              В терминах Лаборатории Касперского инцидент — это подтвержденный алерт (другими словами, подтвержденная угроза информационной безопасности). Инцидент может объединять несколько алертов, например, в рамках расследования аналитик обнаружил первичное заражение и боковое перемещение и привязал эти алерты к одному инциденту.

                              Чтобы обработать алерт:

                                Выберите необходимый алерт одним из следующих способов:
                                  В разделе Алерты веб-интерфейса KUMA нажмите на алерт, сведения о котором вы хотите просмотреть. Откроется окно алерта, в верхней его части расположена панель инструментов.

                                  image.png

                                    В разделе Алерты веб-интерфейса KUMA установите флажок рядом с требуемым алертом (можно выбрать более одного алерта). В нижней части окна отобразится панель инструментов.

                                    image402.png

                                    Алерты со статусом Закрыт не могут быть выбраныактив для обработки.

                                    запуска
                                      Измените уровень важности алерта с помощью раскрывающегося списка Уровень важности:
                                        Низкий. Средний. Высокий. Критический.

                                        В нашем примере измените Уровень важности с Высокий на Критический.

                                        image403.png

                                          Алерт можно назначить пользователю для дальнейшего анализа. Ранее в Разделе Просмотр информации об алерте мы уже назначили алерт пользователю Administrator. Статус алерта в таком случае изменяется на Назначен, а в раскрывающемся списке Назначить отобразится имя выбранного пользователя. Если алерт признан ложным срабатыванием или расследование алерта завершено закройте алерт. Для этого:
                                            Нажмите Закрыть алерт (это можно сделать в карточке алерта или в таблице алертов, выбрав соответствующий алерт, как на скриншоте выше).задачи. В появившемся окне подтвержденияИнформация укажитеоб причинуактиве закрытия алерта: Отработан. Это означает, что было проведено расследование алерта и приняты необходимые меры по устранению угрозы безопасности. Неверные данные. Это означает, что алерт был ложным, а полученные события не указывают на угрозу безопасности. Неверное правило корреляции. Это означает, что алерт был ложным, а полученные события не указывают на угрозу безопасности. Возможно, требуется коррекция правила корреляции. Нажмитенажмите ОКЗапустить задачу.

                                            image404.pngimage.png

                                            • Статус алерта будет изменен на Закрыт. Алерты с таким статусом не обновляются новыми корреляционными событиями и отображаются в таблице алертов, только если вВ раскрывающемся списке Статус установлен флажоквыберите ЗакрытРеагирование KSC . Изменить статус закрытого алерта или назначить его другому пользователю невозможно.

                                            image405.png

                                            image406.png

                                              Если в процессе расследования алерта Вы выявили и подтвердилидалее вредоносныеранее действия,созданную а также предполагаете наличие других алертов, связанных с данной вредоносной активностью, создайте на основе алерта инцидент:
                                                Нажмитезадачу Создать инцидент. Откроется окно создания инцидента. В качестве названия инцидента используется название алерта. При необходимости измените параметры инцидента и нажмите Сохранить. Инцидент будет создан, статус алерта изменится на В инциденте. При необходимости алерт можно отвязать от инцидента, выбрав его и нажав Отвязать.

                                                image407.png

                                                image408.png

                                                image409.png

                                                image410.png

                                                Подробнее про работу с инцидентами:
                                                https://support.kaspersky.ru/kuma/4.0/220213

                                                Уведомления об алертах

                                                При создании и назначении алертов по электронной почте рассылаются стандартные уведомления KUMA. Предварительно необходимо настроить подключение к SMTP-серверу организации, а также установить флажок Получать уведомления по почте в карточке пользователя.

                                                Чтобы настроить подключение к SMTP-серверу:

                                                  Перейдите в раздел Параметры → Общие. В секции Параметры подключения к SMTP-серверу укажите необходимые параметры:
                                                    Адрес сервера – адрес SMTP-сервера в одном из следующих форматов: hostname, IPv4, IPv6. Порт – порт подключения к почтовому серверу. От кого – адрес электронной почты отправителя сообщения. Например, kuma-aio@truecompany.local.
                                                    (Опционально) Если при подключении к почтовому серверу необходимо пройти аутентификацию в поле Секрет выберите или создайте секрет типа credentials, в котором будут указаны учетные данные для подключения к SMTP-серверу. Нажмите Сохранить.

                                                    Соединение с SMTP-сервером настроено.

                                                    image411.png

                                                    Для того, чтобы пользователи смогли получать сообщения электронной почты от KUMA такжеПоиск необходимовредоносного в карточке пользователей установить флажок Получать уведомления по почте. Для этого:

                                                      Перейдите в раздел Параметры → Пользователи. Нажмите на пользователя, для которого необходимо настроить получение уведомлений. В появившемся окне справа Пользователи установите флажок Получать уведомления по почтеПО. Нажмите Сохранить.Запустить.

                                                      image412.pngimage425.png

                                                      СгенерируйтеЗадача тестовыйпоиска алертвредоносного (см.ПО Разделна Просмотрвыбранном информацииактиве обзапущена.

                                                      алерте).
                                                      Убедитесь,

                                                      Чтобы убедиться, что назадача почтовыйзавершена ящикуспешно пользователяперейдите пришлов почтовоераздел сообщениеСобытия си уведомлениемвыполните оследующий созданномпоисковый алерте.
                                                      запрос:

                                                      SELECT * FROM `events` WHERE FlexString2 = 'KUMA Поиск вредоносного ПО' AND DeviceEventClassID = 'KLPRCI_TaskState' AND DeviceProduct = 'KSC' ORDER BY Timestamp DESC LIMIT 250

                                                      image426.png

                                                      Также статус выполнения задачи можно посмотреть в консоли Kaspersky Security Center или непосредственно в интерфейсе приложения Kaspersky Endpoint Security.

                                                      image413.pngimage427.png

                                                      ВместоЗапускать стандартныхвручную уведомленийреагирование KUMAсредствами оKaspersky созданииSecurity алертовCenter (кактакже можно из раздела Активы, выбрав соответствующий актив из списка, или из карточки События, нажав на скриншотеимя выше)актива можнов рассылатьполе уведомления на основании пользовательских шаблонов. Подробнее:
                                                      https://support.kaspersky.ru/kuma/4.0/233518
                                                      *AssetID.

                                                      Такжеimage428.png

                                                      в

                                                      image429.png

                                                      KUMA поддерживается отправка уведомлений в Telegram:

                                                      Статья онлайн-справки «ОтправкаАвтоматический уведомленийзапуск взадач Telegram»Kaspersky Security Center»:
                                                      https://support.kaspersky.ru/kuma/4.0/258846218008

                                                      Community-скрипт с расширенными возможностями уведомлений и управления через Telegram:
                                                      https://github.com/KUMA-Community/kuma_telebot

                                                      Back to top