# Подключение источников

# Официальная документация по настройке источников

<div class="page-title" id="bkmrk-%D0%A1%D1%81%D1%8B%D0%BB%D0%BA%D0%B0%3A-https%3A%2F%2Fsupp">Ссылка: [https://support.kaspersky.com/KUMA/3.4/ru-RU/256206.htm](https://support.kaspersky.com/KUMA/3.4/ru-RU/256206.htm) </div>---

<div class="page-title" id="bkmrk--1"></div><div class="page-title" id="bkmrk--2"></div><div class="page-title" id="bkmrk--3"></div><div class="page-title" id="bkmrk--4"></div><div class="page-title" id="bkmrk--5"></div><table border="0" cellpadding="0" cellspacing="0" class="relatedtopics belowtopictext" id="bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D0%BF%D0%BE%D0%BB%D1%83%D1%87%D0%B5%D0%BD%D0%B8%D1%8F-" style="width: 88.3333%;"><tbody><tr valign="top"><td style="width: 100%;" width="302">[Настройка получения событий Auditd](https://support.kaspersky.com/KUMA/3.4/ru-RU/239760.htm)

[Настройка получения событий KATA/EDR](https://support.kaspersky.com/KUMA/3.4/ru-RU/240690.htm)

[Настройка получения событий Kaspersky Security Center в формате CEF](https://support.kaspersky.com/KUMA/3.4/ru-RU/241235.htm)

[Настройка получения событий Kaspersky Security Center из MS SQL](https://support.kaspersky.com/KUMA/3.4/ru-RU/245386.htm)

[Настройка получения событий с устройств Windows с помощью Агента KUMA (WEC)](https://support.kaspersky.com/KUMA/3.4/ru-RU/248413.htm)

[Настройка получения событий с устройств Windows с помощью Агента KUMA (WMI)](https://support.kaspersky.com/KUMA/3.4/ru-RU/257568.htm)

[Настройка получения событий DNS-сервера с помощью агента ETW](https://support.kaspersky.com/KUMA/3.4/ru-RU/279436.htm)

[Настройка получения событий PostgreSQL](https://support.kaspersky.com/KUMA/3.4/ru-RU/251880.htm)

[Настройка получения событий ИВК Кольчуга-К](https://support.kaspersky.com/KUMA/3.4/ru-RU/254156.htm)

[Настройка получения событий КриптоПро NGate](https://support.kaspersky.com/KUMA/3.4/ru-RU/252218.htm)

[Настройка получения событий Ideco UTM](https://support.kaspersky.com/KUMA/3.4/ru-RU/255211.htm)

[Настройка получения событий KWTS](https://support.kaspersky.com/KUMA/3.4/ru-RU/254373.htm)

[Настройка получения событий KLMS](https://support.kaspersky.com/KUMA/3.4/ru-RU/254784.htm)

[Настройка получения событий KSMG](https://support.kaspersky.com/KUMA/3.4/ru-RU/254785.htm)

[Настройка получения событий KICS for Networks](https://support.kaspersky.com/KUMA/3.4/ru-RU/282775.htm)

[Настройка получения событий PT NAD](https://support.kaspersky.com/KUMA/3.4/ru-RU/256166.htm)

[Настройка получения событий c помощью плагина MariaDB Audit Plugin](https://support.kaspersky.com/KUMA/3.4/ru-RU/256167.htm)

[Настройка получения событий СУБД Apache Cassandra](https://support.kaspersky.com/KUMA/3.4/ru-RU/258317.htm)

[Настройка получения событий FreeIPA](https://support.kaspersky.com/KUMA/3.4/ru-RU/258336.htm)

[Настройка получения событий VipNet TIAS](https://support.kaspersky.com/KUMA/3.4/ru-RU/255310.htm)

[Настройка получения событий Nextcloud](https://support.kaspersky.com/KUMA/3.4/ru-RU/265465.htm)

[Настройка получения событий Snort](https://support.kaspersky.com/KUMA/3.4/ru-RU/265480.htm)

[Настройка получения событий Suricata](https://support.kaspersky.com/KUMA/3.4/ru-RU/265484.htm)

[Настройка получения событий FreeRADIUS](https://support.kaspersky.com/KUMA/3.4/ru-RU/265491.htm)

[Настройка получения событий VMware vCenter](https://support.kaspersky.com/KUMA/3.4/ru-RU/268252.htm)

[Настройка получения событий zVirt](https://support.kaspersky.com/KUMA/3.4/ru-RU/265514.htm)

[Настройка получения событий Zeek IDS](https://support.kaspersky.com/KUMA/3.4/ru-RU/265545.htm)

[Настройка получения событий Windows с помощью Kaspersky Endpoint Security для Windows](https://support.kaspersky.com/KUMA/3.4/ru-RU/280730.htm)

[Настройка получения событий Сodemaster Mirada](https://support.kaspersky.com/KUMA/3.4/ru-RU/282770.htm)

[Настройка получения событий Postfix](https://support.kaspersky.com/KUMA/3.4/ru-RU/287428.htm)

[Настройка получения событий CommuniGate Pro](https://support.kaspersky.com/KUMA/3.4/ru-RU/290156.htm)

[Настройка получения событий Yandex Cloud](https://support.kaspersky.com/KUMA/3.4/ru-RU/290821.htm)

[Настройка получения событий Microsoft 365](https://support.kaspersky.com/KUMA/3.4/ru-RU/295058.htm)

</td></tr></tbody></table>

# Kaspersky

Подключение источников производителя Kaspersky

# KSC CEF

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/2.1/ru-RU/241235.htm](https://support.kaspersky.com/KUMA/2.1/ru-RU/241235.htm "Настройка получения событий Kaspersky Security Center в формате CEF")</p>

<p class="callout warning">Функция экспорта событий Kaspersky Security Center в SIEM-системы в формате CEF доступна при наличии лицензии Kaspersky Endpoint Security для бизнеса **Расширенный** или **выше**.</p>

### Настройка передачи событий KSC в формате CEF

Чтобы настроить передачу событий от Сервера администрирования Kaspersky Security Center в SIEM-систему KUMA:

1\. В дереве консоли Kaspersky Security Center выберите узел **<span class="guicharacter">Сервер администрирования</span>**.

2\. В рабочей области узла выберите вкладку **<span class="guicharacter">События</span>**.

3\. Перейдите по ссылке **<span class="guicharacter">Настроить параметры уведомлений и экспорта событий</span>** и в раскрывающемся списке выберите **<span class="guicharacter">Настроить экспорт в SIEM-систему</span>**.

Откроется окно <span class="guicharacter">**Свойства**: **События**</span>.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GWvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GWvimage.png)

4\. Установите флажок **<span class="guicharacter">Автоматически экспортировать события в базу SIEM-системы</span>**.

5\. В раскрывающемся списке <span class="guicharacter">SIEM-система</span> выберите **<span class="guicharacter">ArcSight (CEF-формат)</span>**.[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/AtKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/AtKimage.png)

6\. Укажите адрес сервера SIEM-системы KUMA и порт для подключения к серверу в соответствующих полях.

По кнопке **<span class="guicharacter">Экспортировать архив</span>** Kaspersky Security Center экспортирует уже созданные события в базу SIEM-системы KUMA с указанной даты. По умолчанию Kaspersky Security Center экспортирует события с текущей даты.

7\. Нажмите на кнопку **<span class="guicharacter">ОК</span>**.

---

### Настройка коллектора KUMA

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**.

2\. В списке коллекторов найдите коллектор с нормализатором **\[OOTB\] KSC** и откройте его для редактирования.

<details id="bkmrk-%D0%A7%D1%82%D0%BE-%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C%2C-%D0%B5%D1%81%D0%BB%D0%B8-%D0%BA%D0%BE%D0%BB"><summary>Что делать, если ресурс не доступен для редактирования</summary>

Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

<p class="callout danger">Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.</p>

</details>3\. На шаге **Транспорт** в поле **URL** укажите порт, по которому коллектор будет получать события Kaspersky Security Center.

4\. Порт должен совпадать с портом сервера SIEM-системы KUMA, указанным в настройках на стороне KSC.

5\. На шаге Парсинг событий проверьте, что выбран нормализатор **\[OOTB\] KSC**.

6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

8\. Скопируйте появившуюся команду для установки коллектора KUMA.

# KSC MS SQL

<p class="callout success">**✔️ Рекомендуется** - Рекомендуемый способ сбора для этого источника событий</p>

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/2.1/ru-RU/245386.htm](https://support.kaspersky.com/KUMA/2.1/ru-RU/245386.htm)</p>

<p class="callout warning"><span data-teams="true"><span class="ui-provider a b c d e f g h i j k l m n o p q r s t u v w x y z ab ac ae af ag ah ai aj ak" dir="ltr">SQL Server должен поддерживать TLS 1.2 - дополнительную информацию можно изучить тут: [https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server](https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server "https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server")</span></span></p>

<p class="callout info"><span data-teams="true"><span class="ui-provider a b c d e f g h i j k l m n o p q r s t u v w x y z ab ac ae af ag ah ai aj ak" dir="ltr">Для отключения защищенного подключения к БД можно воспользоваться следующей опцией в коннекторе: `sqlserver://user:password@server:port?database=DBName<strong>&encrypt=disable</strong>`</span></span></p>

### <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="allowfullscreen" frameborder="0" height="315" src="https://www.youtube.com/embed/pTv5ALONDQw?si=Mzunu5F7gghO4NWQ" title="YouTube video player" width="560"></iframe>



### Настройка БД MS SQL

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">Для сбора событий из БД MS SQL необходимо создать учетную запись с соответствующеми правами. Для этого выполните следующие действия:</span>

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">1. Перейдите на сервер, где установлена БД MS SQL для KSC. С помощью Microsoft SQL Server Management Studio подключитесь к БД из-под учетной записи, обладающей правами администратора в БД.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/image.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri; mso-no-proof: yes;"> </span>

2\. Перейдите в соответствующий экземпляр БД MS SQL на вкладку Security и для вкладки Logins выберите New Login...

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/OtCimage.png)

3\. Добавьте учетную запись пользователя, с помощью которой будет осуществляться доступ к БД KSC

  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/lw0image.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">4. Установите для учетной записи БД KSC в качестве БД по умолчанию (по умолчанию в KSC используется БД KAV).</span>  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/vlsimage.png)

5\. Настройте учетной записи права db\_datareader и public для БД KSC в соответствии с изображением ниже.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Ph5image.png)

6\. Убедитесь, что созданной учетной записи разрешено подключение к БД.  
[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kECimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kECimage.png)

<p class="callout info"><span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">Для проверки прав созданной учетной записи можно запустить Microsoft SQL Management Studio от имени созданного пользователя (с зажатым Shift нажать ПКМ и выбрать Запуск от имени другого пользователя). Затем перейти в любую таблицу БД KSC и сделать выборку по этой таблице.</span></p>

---

### Настройка SQL Server Browser

Для подключения к серверу MS SQL для сбора событий необходимо настроить соответствующую службу и разрешить входящие подключения. Для этого выполните следующие действия:

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">1. Откройте оснастку SQL Server Configuration Manager. Запустите службу SQL Server Browser и задайте автоматический запуск службы.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7OBimage.png)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/xzaimage.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">2. Включите TCP/IP протокол для соответствующего экземпляра БД.</span>  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/rM2image.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">3. В свойствах протокола, на вкладке IP Addresses для поля IPALL в TCP Port укажите значение 1433.</span>  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EEWimage.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;">4. Перезапустите службу экземпляра SQL сервера.</span>  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J1Yimage.png)

<span style="font-size: 11.0pt; line-height: 107%; sans-serif; mso-bidi-font-family: Calibri;"><span style="font-size: 10.0pt; mso-bidi-font-size: 11.0pt; line-height: 107%; sans-serif; mso-fareast-font-family: Arial; mso-fareast-theme-font: minor-latin; mso-bidi-font-family: 'Times New Roman'; mso-bidi-theme-font: minor-bidi; mso-ansi-language: RU; mso-fareast-language: EN-US; mso-bidi-language: AR-SA;">5. Разрешите на сервере входящие подключения по порту 1433. Это можно сделать в оснастке Брандмауэр защитника Windows в режиме повышенной безопасности.</span></span>  
[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/WyOimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/WyOimage.png)

---

### Создание секрета KUMA

Для подключения к БД MS SQL со стороны KUMA необходимо создать строку подключения. Для этого выполните следующие действия:

1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты** и нажмите на кнопку **Добавить секрет**.

2\. Укажите **Имя** секрета, выберите **Тенант**, к которому будет относиться создаваемый секрет.

3\. Задайте секрету тип **urls** и в поле **URL** укажите строку вида (в квадратных скобках опциональный параметр, квадратные скобки прописывать не надо):  
**sqlserver://\[&lt;domain&gt;%5C\]&lt;username&gt;:&lt;password&gt;@&lt;server&gt;:1433/&lt;наименование БД&gt;**

По умолчанию наименование БД импользуется **KAV**:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/SdYimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/SdYimage.png)

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D1%8B-sqlserver%3A%2F%2F"><summary>Примеры</summary>

`sqlserver://test.local%5Cuser:password123!@10.0.0.1:1433/KAV`  
`sqlserver://user:password123!@server.demo.lab:1433/KAV`

</details>`%5C` – используется для разделения домена и пользователя и представляет собой знак `\` в URL-формате.  
Если в пароле пользователя используются спецсимволы их также необходимо перевести в URL формат в соответствии с таблицей ниже.

<table border="1" id="bkmrk-%21-%23-%24-%25-%26-%27-%28-%29-%2A-%2B-" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col></colgroup><tbody><tr><td>!</td><td>\#</td><td>$</td><td>%</td><td>&amp;</td><td>'</td><td>(</td><td>)</td><td>\*</td><td>+</td></tr><tr><td>%21</td><td>%23</td><td>%24</td><td>%25</td><td>%26</td><td>%27</td><td>%28</td><td>%29</td><td>%2A</td><td>%2B</td></tr><tr><td>,</td><td>/</td><td>:</td><td>;</td><td>=</td><td>?</td><td>@</td><td>\[</td><td>\]</td><td>\\</td></tr><tr><td>%2C</td><td>%2F</td><td>%3A</td><td>%3B</td><td>%3D</td><td>%3F</td><td>%40</td><td>%5B</td><td>%5D</td><td>%5C</td></tr></tbody></table>

Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/) пример: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DPTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DPTimage.png)

<p class="callout danger">Если в пароле присутствуют другие спецсиволы, которые отсутствуют в таблице выше, либо прото для удобства, то с версии KUMA 3.2 можно использовать опцию - **Секрет отдельно** для указания логина и пароля.</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Wsgimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Wsgimage.png)

4\. Сохраните созданный секрет.

<p class="callout warning">Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.</p>

---

### Настройка коннектора

1\. Для подключения к БД MS SQL необходимо настроить коннетор. Для этого выполните следующие действия

2\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы**.

3\. В списке коннекторов справа найдите коннектор **\[OOTB\] KSC SQL** и откройте его для редактирования.

<details id="bkmrk-%D0%A7%D1%82%D0%BE-%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C%2C-%D0%B5%D1%81%D0%BB%D0%B8-%D0%BA%D0%BE%D0%BB"><summary>Что делать, если ресурс не доступен для редактирования</summary>

Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

<p class="callout danger">Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.</p>

</details>4\. На вкладке **Основные параметры** в выпадающих списках **URL** выберите секрет, созданный для подключения к БД MS SQL.

5\. Нажмите **Сохранить**.

---

### Настройка коллектора

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**.

2\. В списке коллекторов найдите коллектор с нормализатором **\[OOTB\] KSC from SQL** и откройте его для редактирования.

<details id="bkmrk-%D0%A7%D1%82%D0%BE-%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C%2C-%D0%B5%D1%81%D0%BB%D0%B8-%D1%80%D0%B5%D1%81"><summary>Что делать, если ресурс не доступен для редактирования</summary>

Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

<p class="callout danger">Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.</p>

</details>3\. На шаге **Транспорт** выберите коннектор **\[OOTB\] KSC SQL**

4\. На шаге Парсинг событий проверьте, что выбран нормализатор **\[OOTB\] KSC from SQL**.

6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

8\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Альтернативный вариант создания коллектора

В случае, если предполагается использование коробочных ресурсов без изменений:

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Секреты**

2\. Откройте на редактирование секрет **\[OOTB\] KSC MSSQL connection**

3\. Задайте в секрете строку подключения в соответствии с разделом "**Создание секрета KUMA**"

4\. Сохраните созданный секрет с помощью кнопки "**Сохранить**"

5\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**.

6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

8\. Скопируйте появившуюся команду для установки коллектора KUMA.

# KSC PostgreSQL

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка PostgreSQL

Настройки на сервере БД PostgreSQL можно выполнять в консоли (SSH, терминал ОС) или средствами утилиты pgAdmin (требуется установка).

В данной статье сервер БД PostgreSQL работает под управлением ОС Astra Linux, а все настройки выполняются **в консоли.**

Для удобства в базе данных PostgreSQL Kaspersky Security Center предусмотрен набор публичных представлений. Таким образом можно создавать запросы непосредственно к публичным представлениям и извлекать из них данные о событиях. "Коробочный" коннектор KUMA **\[OOTB\] KSC PostgreSQL** содержит уже готовые запросы к публичным представлениям **v\_akpub\_ev\_event** и **v\_akpub\_host**.

<p class="callout warning">Коннектор **\[OOTB\] KSC PostgreSQL** позволяет экспортировать события из БД PostgreSQL Kaspersky Security Center (KSC) версии 15.0.   
</p>

<p class="callout warning">Проверена работоспособность коннектора с KSC 14.2 Windows (БД PostgreSQL).</p>



#### Проверка имени БД KSC

Чтобы проверить имя базы данных KSC можно воспользоваться следующей статьей:

[https://support.kaspersky.ru/ksc-linux/15/228689](https://support.kaspersky.ru/ksc-linux/15/228689) (KSC Linux)

Альтернативным вариантом является проверка имени БД в консоли сервера, на котором установлена БД KSC:

- Измените текущего пользователя на **postgres**

```bash
sudo -i -u postgres
```

- Запустите интерактивный терминал PostgreSQL и выведите список баз данных сервера

```
psql

\l # вывод списка баз данных сервера
```

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/scaled-1680-/12eimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/12eimage.png)


#### Создание роли БД и предоставление прав

- В консоли сервера, где установлена БД PostreSQL KSC, измените текущего пользователя на **postgres**

```bash
sudo -i -u postgres
```

- Запустите интерактивный терминал PostgreSQL

```bash
psql
```

<p class="callout info">Также для создания роли БД и предоставления ей соответствующих прав можно использовать существующую учетную запись с атрибутом **role creation** и правами доступа к публичным представлениям.   
  
Пример подключения к БД:   
psql -U &lt;имя УЗ&gt; -d &lt;имя БД KSC&gt;</p>

- Создайте роль пользователя kuma

```bash
CREATE USER kuma WITH PASSWORD '<задайте пароль>';
```

- Подключитесь к БД KSC (см. Раздел "**Проверка имени БД KSC**". По умолчанию KAV)

```
\connect KAV
```

- Предоставьте права роли KUMA

```bash
GRANT SELECT ON v_akpub_ev_event TO kuma;
GRANT SELECT ON v_akpub_host TO kuma;
GRANT SELECT ON v_akpub_virus_activity TO kuma;
GRANT SELECT ON v_akpub_hst_prdstate TO kuma;
GRANT SELECT ON v_akpub_host_status TO kuma;
```


#### Настройка удаленного доступа к БД PostgreSQL и метода аутентификации

- Откройте файл **/etc/postgresql/&lt;версия БД PostgreSQL&gt;/main/pg\_hba.conf** и в секции **IPv4 local connections** добавьте следующую строку

```bash
host   <имя БД,например, KAV>   kuma   <IP-адрес коллектора KUMA>/32   scram-sha-256
```

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/4j9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/4j9image.png)

- Откройте файл конфигурации **/etc/postgresql/&lt;версия БД PostgreSQL&gt;/main/postgresql.conf** и в секции **CONNECTIONS AND AUTHENTICATION** укажите IP-адрес интерфейса сервера БД, на котором будут "прослушиваться" входящие соединения

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/scaled-1680-/Sluimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/Sluimage.png)

- После внесения изменений и сохранения файла конфигурации выполните рестарт сервиса PostgreSQL

```bash
systemctl restart postgresql
```

<p class="callout info">При необходимости разрешите входящие соединения на порт БД PostgreSQL (по умолчанию, TCP/5432) в параметрах локального FW.</p>

---

### Создание секрета KUMA

1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты**

2\. Выберите секрет **\[OOTB\] KSC PostgreSQL connection** и нажмите **Дублировать.**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/jaMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/jaMimage.png)

3\. В появившемся окне задайте:

- Название секрета
- URL (формат URL можно взять из **Описания** к секрету). В поле URL укажите: 
    - Имя ранее созданной роли (в нашем примере это **kuma**) и ее пароль;
    - IP-адрес или FQDN сервера БД;
    - Наименование БД KSC (по умолчанию KAV. См. **Проверка имени БД KSC**).

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/PA3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/PA3image.png)

<p class="callout info">Если в пароле используются спецсимволы необходимо перевести данные спецсимволы в URL формат в соответствии с таблицей ниже.</p>

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D1%8B-sqlserver%3A%2F%2F"><summary>Примеры</summary>

  
`postgres://kuma:p%40ssword123%21@server.demo.lab/KAV`

</details><table border="1" id="bkmrk-%21-%23-%24-%25-%26-%27-%28-%29-%2A-%2B-" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col><col style="width: 10%;"></col></colgroup><tbody><tr><td>!</td><td>\#</td><td>$</td><td>%</td><td>&amp;</td><td>'</td><td>(</td><td>)</td><td>\*</td><td>+</td></tr><tr><td>%21</td><td>%23</td><td>%24</td><td>%25</td><td>%26</td><td>%27</td><td>%28</td><td>%29</td><td>%2A</td><td>%2B</td></tr><tr><td>,</td><td>/</td><td>:</td><td>;</td><td>=</td><td>?</td><td>@</td><td>\[</td><td>\]</td><td>\\</td></tr><tr><td>%2C</td><td>%2F</td><td>%3A</td><td>%3B</td><td>%3D</td><td>%3F</td><td>%40</td><td>%5B</td><td>%5D</td><td>%5C</td></tr></tbody></table>

Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/)

Пример:

 [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DPTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DPTimage.png)

<p class="callout warning">По умолчанию коллектор KUMA при обращении к БД PostgreSQL будет пытаться построить TLS-туннель. Если на стороне сервера БД не настроено использование SSL/TLS (что НЕ рекомендуется!) в URL секрета необходимо добавить **"?sslmode=disable"**, чтобы строка приняла следующий вид:   
postgres://user:password@server/database**?sslmode=disable**</p>

4\. Нажмите **Сохранить**.

<p class="callout warning">Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.</p>

---

### Настройка коннектора

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы**

2\. В списке коннекторов справа найдите коннектор **\[OOTB\] KSC PostgreSQL** и нажмите **Дублировать**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/BzHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/BzHimage.png)

3\. В появившемся окне задайте:

- Название коннектора
- На вкладке **Основные параметры** в выпадающих списках **URL** выберите секрет, созданный ранее для подключения к БД PostgreSQL KSC.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Deoimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Deoimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/jsaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/jsaimage.png)

4\. Нажмите **Сохранить**.

---

### Настройка коллектора

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите **Подключить источник**

2\. В появившемся окне задайте **Название коллектора** и **Тенант**

3\. На шаге **Транспорт** выберите ранее созданный коннектор

4\. На шаге **Парсинг событий** выберите нормализатор **\[OOTB\] KSC from SQL**.

5\. На шаге **Маршрутизация** задайте следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

6\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

7\. Скопируйте появившуюся команду и выполните установку сервиса коллектора.

---

### Проверка поступления событий KSC в KUMA

Для проверки, что экспорт событий из БД KSC успешно настроен, перейдите в **Ресурсы -&gt; Активные сервисы -&gt;** выберите ранее созданный коллектор **KSC PostgreSQL** и нажмите **Перейти к событиям**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/X7Eimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/X7Eimage.png)

В открывшемся окне **События** убедитесь, что присутствуют события KSC.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Ok0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Ok0image.png)

# KSC MariaDB

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.</p>

### Настройка MariaDB

В **MariaDB** настройки на сервере базы данных можно выполнять несколькими способами: через консоль (SSH, терминал ОС) или с помощью графических интерфейсов, таких как **phpMyAdmin** или **MySQL Workbench**

В данной статье сервер БД MariaDB работает под управлением ОС Ubuntu 22.04.5, а все настройки выполняются **в консоли.**

Для удобства в базе данных MariaDB Kaspersky Security Center предусмотрен набор публичных представлений. Таким образом можно создавать запросы непосредственно к публичным представлениям и извлекать из них данные о событиях. "Коробочный" коннектор KUMA **\[OOTB\] KSC MySQL** содержит уже готовые запросы к публичным представлениям **v\_akpub\_ev\_event** и **v\_akpub\_host**.

<p class="callout warning">Для обеспечения корректной работы MariaDB с Kaspersky Security Center рекомендуется использовать версии MariaDB начиная с 10.5.17 или более новые.</p>

#### Проверка имени БД KSC

Чтобы проверить имя базы данных KSC можно воспользоваться следующей статьей:

Просмор имени базы данных Kaspersky Security Center Linux - (KSC Linux) - [https://support.kaspersky.ru/ksc-linux/15.1/228689](https://support.kaspersky.ru/ksc-linux/15.1/228689)

Альтернативным вариантом является проверка имени БД в консоли сервера, на котором установлена БД KSC:

- Подключитесь к серверу базы данных ```
    mariadb -h localhost -u admin -p
    ```
    
    где, вместо `admin` задайте логин своего пользователя MariaDB
- Запустите интерактивный терминал MariaDB и выведите список баз данных сервера ```mysql
    SHOW  DATABASES;
    ```
    
    ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/Sosimage.png)

#### Создание роли БД и предоставление прав

- <div>Подключитесь к серверу базы данных</div>```
    mariadb -h localhost -u admin -p
    ```
- Создайте роль пользователя для сбора событий, в данном примере - `kuma_siem````mysql
    CREATE USER kuma_siem IDENTIFIED  by 'password';
    ```
- Предоставьте права роли KUMA к публичным представлениям: ```mysql
    GRANT SELECT ON `KAV`.`v_akpub_hst_prdstate` TO `kuma_siem`@`%`;                             
    GRANT SELECT ON `KAV`.`v_akpub_ev_event` TO `kuma_siem`@`%`;                                            
    GRANT SELECT ON `KAV`.`v_akpub_host_status` TO `kuma_siem`@`%`;                                           
    GRANT SELECT ON `KAV`.`v_akpub_virus_activity` TO `kuma_siem`@`%`;                                        
    GRANT SELECT ON `KAV`.`v_akpub_host` TO `kuma_siem`@`%` 
    ```
    
    Права предоставляются в виде:
    
    ```mysql
    GRANT SELECT ON `название базы данных`.`таблица` TO `имя пользователя БД`@`хост с которого идет подключение`;
    # % - все хосты  
    ```
- Проверьте права пользователя ```mysql
    SHOW GRANTS FOR 'kuma_siem'@'%';
    ```
    
    ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/sm4image.png)

<p class="callout info">При необходимости разрешите входящие соединения на порт БД MariaDB (по умолчанию, TCP/3306) в параметрах локального FW, а также в настройках конфигурационного файла my.cnf</p>

---

### Создание секрета KUMA

1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты → Добавить**

2\. Создайте секрет MariaDB, В появившемсе окне задайте

- URL (формат URL можно взять из **Описания** к секрету). В поле URL укажите: 
    - Имя ранее созданной роли (в нашем примере это **kuma\_siem**) и ее пароль;
    - Протокол подключения
    - IP-адрес или FQDN сервера БД ;
    - Порт подключения (по умолчанию `3306`)
    - Наименование БД KSC (по умолчанию `KAV`. См. **Проверка имени БД KSC**).

```bash
mysql://<имя пользователя БД>:<Пароль>@<протокол подключения>(<IP-адрес или FQDN сервера БД>:<порт>)/<имя Базы данных>
```

Например: `mysql://kuma_siem:password@tcp(10.10.10.10:3306)/KAV`

<p class="callout info">Если в пароле используются спецсимволы необходимо перевести данные спецсимволы в URL формат в соответствии с таблицей ниже.</p>

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D1%8B-mysql%3A%2F%2Fkuma"><summary>Примеры</summary>

mysql://kuma:p%40ssword123%2@tcp(ip:port)/KAV

</details><table border="1" id="bkmrk-%21-%23-%24-%25-%26-%27-%28-%29-%2A-%2B-" style="border-collapse: collapse; width: 100%; height: 118.807px;"><colgroup><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col><col style="width: 10.0108%;"></col></colgroup><tbody><tr style="height: 29.7017px;"><td style="height: 29.7017px;">!</td><td style="height: 29.7017px;">\#</td><td style="height: 29.7017px;">$</td><td style="height: 29.7017px;">%</td><td style="height: 29.7017px;">&amp;</td><td style="height: 29.7017px;">'</td><td style="height: 29.7017px;">(</td><td style="height: 29.7017px;">)</td><td style="height: 29.7017px;">\*</td><td style="height: 29.7017px;">+</td></tr><tr style="height: 29.7017px;"><td style="height: 29.7017px;">%21</td><td style="height: 29.7017px;">%23</td><td style="height: 29.7017px;">%24</td><td style="height: 29.7017px;">%25</td><td style="height: 29.7017px;">%26</td><td style="height: 29.7017px;">%27</td><td style="height: 29.7017px;">%28</td><td style="height: 29.7017px;">%29</td><td style="height: 29.7017px;">%2A</td><td style="height: 29.7017px;">%2B</td></tr><tr style="height: 29.7017px;"><td style="height: 29.7017px;">,</td><td style="height: 29.7017px;">/</td><td style="height: 29.7017px;">:</td><td style="height: 29.7017px;">;</td><td style="height: 29.7017px;">=</td><td style="height: 29.7017px;">?</td><td style="height: 29.7017px;">@</td><td style="height: 29.7017px;">\[</td><td style="height: 29.7017px;">\]</td><td style="height: 29.7017px;">\\</td></tr><tr style="height: 29.7017px;"><td>%2C</td><td>%2F</td><td>%3A</td><td>%3B</td><td>%3D</td><td>%3F</td><td>%40</td><td>%5B</td><td>%5D</td><td>%5C</td></tr></tbody></table>

Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/)

3\. Нажмите **Сохранить**

<p class="callout warning">Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.</p>

---

### Настройка коннектора

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы**

2\. В списке коннекторов найдите коннектор **\[OOTB\] KSC MySQL**, отметьте его галочкой и нажмите **Дублировать**

3\. В появившемся окне задайте:

- - - Название коннектора
        - На вкладке **Основные параметры** в разделе **Соединение** в выпадающих списках URL выберите секрет, созданный ранее для подключения к БД MariaDB KSC

<p class="callout warning">Обратите внимание, что в коннекторе используется несколько запросов! URL подключения необходимо заменить для **ВСЕХ** запросов.</p>

4\. В запросе смените название БД (`ksc_srv`) на имя БД KSC, в нашем случае `KAV` (по умолчанию)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/dvuimage.png)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/4iVimage.png)

<p class="callout warning">Обратите внимание, что в коннекторе используется несколько запросов! Название БД необходимо заменить для **ВСЕХ** запросов.</p>

---

### Настройка коллектора

1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите **Подключить источник**

2\. В появившемся окне задайте **Название коллектора** и **Тенант**

3\. На шаге **Транспорт** выберите ранее созданный коннектор

4\. На шаге **Парсинг событий** выберите сдублированный нормализатор **\[OOTB\] KSC from SQL**.

5\. На шаге **Маршрутизация** задайте следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

6\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

7\. Скопируйте появившуюся команду и выполните установку сервиса коллектора.

---

### Проверка поступления событий KSC в KUMA 

Для проверки, что экспорт событий из БД KSC успешно настроен, перейдите в **Ресурсы -&gt; Активные сервисы -&gt;** выберите ранее созданный коллектор **KSC PostgreSQL** и нажмите **Перейти к событиям**

В открывшемся окне **События** убедитесь, что присутствуют события KSC.

### ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/QY7image.png)

---

### Полезные ссылки 

Настройка сервера MariaDB x64 для работы с Kaspersky Security Center Linux - [https://support.kaspersky.ru/ksc-linux/15/210277](https://support.kaspersky.ru/ksc-linux/15/210277)

Коннекторы типа sql в kuma - [https://support.kaspersky.ru/kuma/3.2/220746](https://support.kaspersky.ru/kuma/3.2/220746)

# KLMS

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm)</p>

### Настройка передачи событий KLMS в KUMA

Чтобы настроить передачу событий KLMS в KUMA:

1\. Подключитесь к серверу KLMS по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode.

2\. С помощью утилиты `klms-control` выгрузите настройки в файл `settings.xml`:

```bash
sudo /opt/kaspersky/klms/bin/klms-control --get-settings EventLogger -n -f /tmp/settings.xml
```

3\. Убедитесь, что параметры файла `/tmp/settings.xml `имеют следующие значения, при необходимости внесите изменения:

```xml
<siemSettings>
<enabled>1</enabled>
<facility>Local1</facility>
```

4\. Примените настройки с помощью следующей команды:

```bash
sudo /opt/kaspersky/klms/bin/klms-control --set-settings EventLogger -n -f /tmp/settings.xml
```

5\. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл `/etc/rsyslog.conf`.

```bash
$WorkDirectory /var/lib/rsyslog
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
local1.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local1.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

6\. Сохраните внесённые изменения.

7\. Перезапустите сервис rsyslog с помощью следующей команды:

```bash
sudo systemctl restart rsyslog.service
```

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KLMS.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KLMS.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KLMS syslog CEF**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий KLMS (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm)

# KSMG 1.1

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm)</p>

### Настройка передачи событий KSMG в KUMA

<p class="callout info">Данная инструкция применима для KSMG версии 1.1</p>

Чтобы настроить передачу событий KSMG в KUMA:

1\. Подключитесь к серверу KSMG по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode.

2\. С помощью утилиты `ksmg-control` выгрузите настройки в файл `settings.xml`:

```bash
sudo /opt/kaspersky/ksmg/bin/ksmg-control --get-settings EventLogger -n -f /tmp/settings.xml
```

3\. Убедитесь, что параметры файла `/tmp/settings.xml `имеют следующие значения, при необходимости внесите изменения:

```xml
<siemSettings>
<enabled>1</enabled>
<facility>Local1</facility>
```

4\. Примените настройки с помощью следующей команды:

```bash
sudo /opt/kaspersky/ksmg/bin/ksmg-control --set-settings EventLogger -n -f /tmp/settings.xml
```

5\. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл `/etc/rsyslog.conf`.

```bash
$WorkDirectory /var/lib/rsyslog
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
local1.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local1.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

6\. Сохраните внесённые изменения.

7\. Перезапустите сервис rsyslog с помощью следующей команды:

```bash
sudo systemctl restart rsyslog.service
```

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KSMG.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KSMG.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KSMG**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий KSMG (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm)

Публикация событий в SIEM-систему (онлайн-справка KSMG): [https://support.kaspersky.com/help/KSMG/1.1.3/ru-RU/151504.htm](https://support.kaspersky.com/help/KSMG/1.1.3/ru-RU/151504.htm)

# KSMG 2.0

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Настройка отправкм логов для актуальной версии KSMG 2.1.1VA доступно из справки - [https://support.kaspersky.com/KSMG/2.1.1VA/ru-RU/218660.htm](https://support.kaspersky.com/KSMG/2.1.1VA/ru-RU/218660.htm) </p>

### Настройка передачи событий KSMG в KUMA

<p class="callout info">Данная инструкция применима для KSMG версии 2.0</p>

Чтобы настроить передачу событий KSMG в KUMA:

1\. Подключитесь к серверу KSMG по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode.

2\. Внесите следующие изменения в файл с параметрами экспорта событий `/opt/kaspersky/ksmg/share/templates/core_settings/event_logger.json.template`:

```json
"siemSettings":
{
"enabled": true,
"facility": "Local2",
"logLevel": "Info",
"formatting":
{
```

Прочие параметры оставьте без изменений.

<p class="callout warning">Перед внесением изменений в файл `/etc/rsyslog.conf` рекомендуется сделать его резервную копию. Ошибка при редактировании файла может привести к некорректной работе системы.</p>

3\. В файле `/etc/rsyslog.conf` измените строку:

```bash
*.info;mail.none;authpriv.none;cron.none;local0.none;local1.none /var/log/messages
```

на

```bash
*.info;mail.none;authpriv.none;cron.none;local0.none;local1.none;local2.none /var/log/messages
```

4\. Добавьте в файл `/etc/rsyslog.conf `следующую строку:

```bash
local2.* -/var/log/ksmg-cef-messages
```

5\. Создайте файл `/var/log/ksmg-cef-messages` и настройте права доступа к нему. Для этого выполните команды:

```bash
touch /var/log/ksmg-cef-messages
chown root:klusers /var/log/ksmg-cef-messages
chmod 640 /var/log/ksmg-cef-messages
```

6\. Настройте правила ротации файлов с экспортированными событиями. Для этого добавьте в файл `/etc/logrotate.d/ksmg-syslog` следующие строки:

```bash
/var/log/ksmg-cef-messages
{
size 500M
rotate 10
notifempty
sharedscripts
postrotate
/usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
endscript
}
```

7\. Перезапустите сервис rsyslog с помощью следующей команды:

```bash
service rsyslog restart
```

<p class="callout info">Если вам не требуется сохранять файлы локально, пропустите шаги 4–7 из инструкции выше</p>

8\. В веб-интерфейсе приложения в разделе **<span class="guicharacter">Параметры </span>**→ <span class="guicharacter">**Журналы и события** </span>→ **<span class="guicharacter">События</span>** внесите изменение в значение любого параметра и нажмите на кнопку **<span class="guicharacter">Сохранить</span>**.

Это необходимо для синхронизации параметров между узлами кластера и применения изменений, внесенных в конфигурационный файл. После этого вы можете вернуть исходное значение измененного параметра.

9\. Внесите следующие изменения в файл `/etc/rsyslog.conf`:

```bash
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
local2.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local2.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

10\. Перезапустите службу rsyslog. Для этого выполните команду:

```bash
service rsyslog restart
```

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KSMG.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KSMG.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KSMG**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

<p class="callout info">В случае если события не поступают перезапустите сервис rsyslog несколько раз</p>

---

### Полезные ссылки

Публикация событий в SIEM-систему (онлайн-справка KSMG): [https://support.kaspersky.com/KSMG/2.0.1/ru-RU/151504.htm ](https://support.kaspersky.com/help/KSMG/2.0.1/ru-RU/151504.htm)

# KWTS 6.0

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm)</p>

### Настройка передачи событий KWTS в KUMA

<p class="callout info">Данная инструкция применима для KWTS версии 6.0</p>

Чтобы настроить передачу событий KWTS в KUMA:

1\. Подключитесь к серверу KWTS по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode.

<p class="callout warning">Перед внесением изменений создайте резервные копии следующих файлов:  
- `/opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template`  
- `/etc/rsyslog.conf`</p>

2\. Внесите следующие изменения в файл с параметрами экспорта событий `/opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template`:

```json
"siemSettings":
{
"enabled": true,
"facility": "Local5",
"logLevel": "Info",
"formatting":
{
```

Прочие параметры оставьте без изменений.

3\. Внести изменения в файл `/etc/rsyslog.conf` :

```bash
$WorkDirectory /var/lib/rsyslog
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
local5.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local5.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

4\. Перезапустите сервис rsyslog с помощью следующей команды:

```bash
sudo systemctl restart rsyslog.service
```

5\. В веб-интерфейсе приложения в разделе **<span class="guicharacter">Параметры </span>**→ Syslog включите опцию **Записывать информацию о профиле трафика** и нажмите на кнопку **<span class="guicharacter">Сохранить</span>**.

<details id="bkmrk-%D0%94%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B8%D1%82%D0%B5%D0%BB%D1%8C%D0%BD%D1%8B%D0%B9-%D0%B2%D0%B0%D1%80%D0%B8%D0%B0"><summary>Дополнительный вариант логирования</summary>

Так как в CEF могут логироваться не все события, в некоторых случаях целесообразно будет также оправлять в KUMA лог из `/var/log/kwts-messages`. В этом логе, например, содержится GUID, который позволяет связать события в КАТА и KWTS при отправке файлов на проверку в KATA.

Для отправки на KUMA этих событий необходимо в файле `/etc/rsyslog.conf` добавить отправку событий с facility local1 в KUMA. Однако коллектор для этих целей потребуется другой, т.к. логи в данном случае будут не в формате CEF, а в kv. Также это потребует и разработки кастомного парсера.

Чтобы настроить отправку local1 в KUMA нужно в конец файла дописать следующее для отправки по UDP:

```bash
local1.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local1.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

После перезапустите сервис rsyslog с помощью следующей команды:

```bash
sudo systemctl restart rsyslog.service
```

</details>---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KWTS.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KWTS.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KWTS syslog CEF**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий KWTS (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm)

# KATA

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm) </p>

### Настройка KATA

Для настройки пересылки событий из KATA в SIEM KUMA необходимо выполнить следующие действия:

1\. Перейти в веб-консоль центрального узла Kaspersky Anti Targeted Attack из-под учетной записи Администратора, предварительно отметив параметр **Local administrator**

  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J4eimage.png)

2\. Перейти в раздел **Settings** – **SIEM System** и настроить параметры отправки событий в KUMA SIEM:  
**Host/IP**: ip или fqdn адрес коллектора KUMA  
**Port**: порт коллектора KUMA  
**Protocol**: TCP или UDP  
**Host ID**: напр., kata-cn  
**Heartbeat**: интервал в минутах

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/14jimage.png)

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Kaspersky Anti Targeted Attack Platform.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KATA.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KATA.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий KATA/EDR (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm)

# KATA/NDR 7.0

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout warning">Данная инструкция предназначена строго для версии KATA/NDR **7.0**. Инструкция для предыдущих версии находится в соответствующем разделе базы знаний.</p>

<p class="callout warning">Данная способ позволяет собирать события **NDR**. Для сбора событий **KATA** воспользуйтесь соответствующей инструкцией.</p>

### Настройка KATA/NDR

Для настройки пересылки событий из KATA/NDR в SIEM KUMA необходимо выполнить следующие действия:

1\. Перейти в веб-консоль KATA/NDR из-под учетной записи Администратора

2\. Перейти в раздел **Параметры** – **Коннекторы** и нажать на кнопку **Добавить коннектор**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/cBVimage.png)

3\. В открывшемся окне настроить параметры отправки событий в KUMA SIEM:  
 **Тип коннектора**: SIEM;  
**Имя коннектора**: произвольное название, например, *KUMA Syslog;*  
**Адрес сервера**: 127.0.0.1;  
**Узел размещения коннектора**: выбрать нужный из выпадающего списка;  
**Пользователь программы**: выбрать нужного из выпадающего списка;  
**Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA;  
**Номер порта**: порт коллектора KUMA;  
**Транспортный протокол**: TCP или UDP.  
**Разрешить отправку записей аудита**: вкл, если требуется передача событий аудита  
**Разрешить отправку сообщений программы**: вкл, если требуется передача сообщений программы

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/IQPimage.png)

3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**.

В результате в интерфейсе KATA/NDR созданный коннектор перейдет в состояние **Работает**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/3cTimage.png)

---

### Настройка отправки событий

<p class="callout warning">По умолчанию события безопасности KATA/NDR не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.</p>

Для настройки отправки событий необходимо:

1\. Войти в интерфейс KATA/NDR от имени пользователя **Старший офицер безопасности**  
2\. Перейти на вкладку **Параметры** – **Типы событий**  
3\. Выбрать один или несколько типов событий, которые необходимо передавать  
4\. Нажать на кнопку **Выбрать коннекторы**  
5\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события  
6\. Подтвердить выбор нажатием кнопки **ОК**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/tKAimage.png)

После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/GNXimage.png)

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KATA/NDR.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KATA/NDR. Также обязательно задайте в качестве разделителя **\\0**.

2\. На шаге **Парсинг** событий выберите соответствующий нормализатор

<details id="bkmrk-%D0%9A%D0%B0%D0%BA%D0%BE%D0%B9-%D0%BD%D0%BE%D1%80%D0%BC%D0%B0%D0%BB%D0%B8%D0%B7%D0%B0%D1%82%D0%BE%D1%80-%D0%BC"><summary>Какой нормализатор можно использовать</summary>

Сделайте копию коробочного нормализатора **\[OOTB\] KICS4Net v3.х**

В копии нормализатора, в главном парсере, на вкладке Обогащение измените значение константы для поля **DeviceProduct** на **NDR**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/CPcimage.png)

 Сохраните нормализатор и используйте его в коллекторе KATA/NDR

</details>3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

# KEDR 4.0-4.1

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm) </p>

### Настройка KEDR

Чтобы импортировать в KUMA события Kaspersky Endpoint Detection and Response 4.1, выполните следующие действия на стороне Kaspersky Endpoint Detection and Response:

1\. Войдите в консоль управления того сервера Central Node, с которого вы хотите экспортировать события, по протоколу SSH или через терминал.

2\. В ответ на приглашение системы введите имя учетной записи администратора и пароль, заданный при установке Kaspersky Endpoint Detection and Response.  
Отобразится меню администратора компонента программы.

3\. В меню администратора компонента программы выберите режим Technical Support Mode.

4\. Нажмите на клавишу Enter.  
Отобразится окно подтверждения входа в режим Technical Support Mode.

5\. Подтвердите, что хотите выполнять действия с программой в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.

6\. Выполните команду

```bash
sudo -i
```

7\. В конфигурационном файле `/etc/sysconfig/apt-services` в поле `KAFKA_PORTS` удалите значение `10000`.

<p class="callout info">Если к серверу Central Node подключены серверы Secondary Central Node или компонент Sensor, установленный на отдельном сервере, вам требуется разрешить соединение с сервером, на котором вы изменили конфигурационный файл, по порту `10000`.</p>

<p class="callout warning">Настоятельно не рекомендуется использовать этот порт для каких-либо внешних подключений, кроме KUMA. Чтобы ограничить подключение по порту 10000 только для KUMA, выполните команду:</p>

<p class="callout warning">`iptables -I INPUT -p tcp ! -s KUMA_IP_address --dport 10000 -j DROP`</p>

8\. Выполните команду

```bash
systemctl restart apt_ipsec.service
```

9\. В конфигурационном файле `/usr/bin/apt-start-sedr-iptables` в поле `WEB_PORTS` добавьте значение `10000` через запятую без пробела.

10\. Выполните команду

```bash
sudo sh /usr/bin/apt-start-sedr-iptables
```

---

### Настройка KUMA

1\. На сервере KUMA добавьте IP-адрес сервера Central Node в формате `<IP-адрес> centralnode` в один из следующих файлов:

`%WINDIR%\System32\drivers\etc\hosts` – в случае сбора телеметрии KEDR агентом KUMA для Windows.

<details id="bkmrk-%D0%9A%D0%B0%D0%BA-%D0%BE%D1%82%D1%80%D0%B5%D0%B4%D0%B0%D0%BA%D1%82%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D1%82%D1%8C-"><summary>Как отредактировать файл hosts в Windows</summary>

1\. Запустите cmd.exe от имени администратора

2\. Выполните команду

```cmd
notepad.exe %WINDIR%\System32\drivers\etc\hosts
```

3\. Внести изменения в файл и сохраните (`Ctrl + S`)

</details>  
`/etc/hosts` file – в случае сбора телеметрии KEDR коллектором или агентом KUMA для Linux.

2\. В веб-интерфейсе KUMA создайте коннектор типа Kafka.  
При создании коннектора укажите следующие параметры:

\- В поле **URL** укажите **&lt;IP-адрес сервера Central Node&gt;:10000**  
\- В поле **Topic** укажите **EndpointEnrichedEventsTopic**.  
\- В поле **Consumer** group укажите любое уникальное имя.

3\. В веб-интерфейсе KUMA создайте коллектор.

4\. На шаге **Транспорт** укажите коннектор, созданный на шаге 2.

5\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**.

6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

8\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий KATA/EDR (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm)

# KEDR 5.0-6.0

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm) </p>

### Настройка KEDR

<p class="callout warning">При импорте событий из Kaspersky Endpoint Detection and Response 5.0 действует ряд ограничений:  
- Импорт событий доступен только для неотказоустойчивой версии Kaspersky Endpoint Detection and Response.  
- Импорт событий доступен, если в программе Kaspersky Endpoint Detection and Response используются лицензионные ключи KATA и KEDR.  
- Импорт событий не доступен, если в составе программы Kaspersky Endpoint Detection and Response используется компонент Sensor, установленный на отдельном сервере.</p>

Чтобы импортировать в KUMA события Kaspersky Endpoint Detection and Response 5.0, выполните следующие действия на стороне Kaspersky Endpoint Detection and Response:

1\. Войдите в консоль управления того сервера Central Node, с которого вы хотите экспортировать события, по протоколу SSH или через терминал.

2\. В ответ на приглашение системы введите имя учетной записи администратора и пароль, заданный при установке Kaspersky Endpoint Detection and Response.  
Отобразится меню администратора компонента программы.

3\. В меню администратора компонента программы выберите режим Technical Support Mode.

4\. Нажмите на клавишу Enter.  
Отобразится окно подтверждения входа в режим Technical Support Mode.

5\. Подтвердите, что хотите выполнять действия с программой в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter.

6\. Выполните команду

```bash
sudo -i
```

7\. В конфигурационном файле `/usr/local/lib/python3.8/dist-packages/firewall/create_iptables_rules.py` укажите дополнительный порт `10000` для константы `WEB_PORTS`:

```bash
WEB_PORTS = f'10000,80,{AppPort.APT_AGENT_PORT},{AppPort.APT_GUI_PORT}'
```

Для **KATA 6.0** файл находится по пути `<span class="ui-provider a b c d e f g h i j k l m n o p q r s t u v w x y z ab ac ae af ag ah ai aj ak" dir="ltr">/opt/venv/lib/python3.11/site-packages/firewall/create_iptables_rules.py</span>` и строку надо отредактировать в таком виде:

```
WEB_PORTS = '10000,80,' + ','.join(
```

8\. Выполните команды:

<p class="callout info">Кластерная подсеть по умолчанию: 198.18.0.0/16</p>

```bash
kata-firewall stop
kata-firewall start --cluster-subnet <маска сети для адресации серверов кластера>
```

---

### Настройка KUMA

1\. На сервере KUMA добавьте IP-адрес сервера Central Node в формате `<IP-адрес> kafka.services.external.dyn.kata` в один из следующих файлов:

`%WINDIR%\System32\drivers\etc\hosts` – в случае сбора телеметрии KEDR агентом KUMA для Windows.

<details id="bkmrk-%D0%9A%D0%B0%D0%BA-%D0%BE%D1%82%D1%80%D0%B5%D0%B4%D0%B0%D0%BA%D1%82%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D1%82%D1%8C-"><summary>Как отредактировать файл hosts в Windows</summary>

1\. Запустите cmd.exe от имени администратора

2\. Выполните команду

```
notepad.exe %WINDIR%\System32\drivers\etc\hosts
```

3\. Внести изменения в файл и сохраните (`Ctrl + S`)

</details>  
`/etc/hosts` file – в случае сбора телеметрии KEDR коллектором или агентом KUMA для Linux.

2\. В веб-интерфейсе KUMA создайте коннектор типа Kafka.  
При создании коннектора укажите следующие параметры:

\- В поле **URL** укажите **&lt;IP-адрес сервера Central Node&gt;:10000**  
\- В поле **Topic** укажите **EndpointEnrichedEventsTopic**.  
\- В поле **Consumer** group укажите любое уникальное имя.

3\. В веб-интерфейсе KUMA создайте коллектор.

4\. На шаге **Транспорт** укажите коннектор, созданный на шаге 2.

5\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**.

6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

8\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Случай с несколькими серверами KEDR

При наличии двух серверов EDR брокер на обоих узлах в метаданных передает одно и то же имя centralnode. Таким образом, выгрузка телеметрии через Кафку одновременно с двух разных узлов EDR становится невозможной, так как они просят клиента обращаться по одному и тому же некорректному адресу [http://centralnode:10000](http://centralnode:10000).

Для решения проблемы:

1\. на одной CN выгрузим параметры, с которым контейнер стартует:

```bash
console-settings-updater get /kata/configuration/product/kafka | python3 -m json.tool > /tmp/kafka.conf
```

2\. Откроем в редакторе файл: `vim kafka.conf` и исправляем строку `"external_address": "kafka.services.external.dyn.kata"` на `"external_address": "kafka<strong>2</strong>.services.external.dyn.kata"`

3\. Загружаем файл обратно в контейнер:

```bash
console-settings-updater set /kata/configuration/product/kafka @/tmp/kafka.conf
```

# KEDR 5.1+ (Телеметрия EDR по API)

<p class="callout success">**✔️ Рекомендуется** - Рекомендуемый способ сбора для этого источника событий</p>

<p class="callout warning">Данная инструкция предназначена для версии KUMA с 3.0.2+, а также версий KATA 5.1+</p>

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm](https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm)</p>

### Создание секрета

Для подключения KEDR со стороны KUMA по API необходимо создать секрет для аутентификации. Для этого выполните следующие действия:  
1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы → Секреты** и нажмите на кнопку **Добавить**.  
2\. Укажите **Имя** секрета, выберите **Тенант**, к которому будет относиться создаваемый секрет.  
3\. Нажмите **Сгенерировать и скачать сертификат и закрытый ключ шифрования соединения**, после чего произойдет скачивание архива.  
4\. Распакуйте архив. Внутри будут файл сертификата и файл закрытого ключа.  
5\. Укажите **Файл сертификата** и **Закрытый ключ** в соответствии с рисунком:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Tc3image.png)

6\. Сохраните секрет

---

### Настройка коллектора

После того как был создан секрет, требуется создать коллектор в веб-интерфейсе KUMA для событий KEDR.  
1\. На шаге **Транспорт** укажите тип **kata/kedr** и **URL** в формате &lt;IP-адрес или FQDN CN KATA&gt;:&lt;порт, по умолчанию 443&gt;), в поле **Секрет** укажите ранее созданный секрет.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/8RZimage.png)

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**.  
3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:  
\- **Хранилище**. Для отправки обработанных событий в хранилище.  
\- **Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.  
4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.  
5\. Скопируйте появившуюся команду для установки коллектора KUMA.

<p class="callout info">В **Дополнительных параметрах** транспорта параметр **Время ожидания получения событий** означает время, за которое KATA собирает события для отправки.</p>

---

### Настройка KATA

Для настройки сбора событий телеметрии из KATA в SIEM KUMA необходимо выполнить следующие действия:

1\. Перейти в веб-консоль центрального узла Kaspersky Anti Targeted Attack из-под учетной записи Администратора, предварительно отметив параметр **Local administrator**

  
![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J4eimage.png)

2\. Перейти в раздел **External systems** и нажать **Accept** (для дальнейшего удобства вы можете изменить содержимое поля **Name,** например, на KUMA). Также следует проверить, что значение в поле **ID** совпадает со значением поля **Внешний ID** в настройках транспорта коллектора KUMA.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/pNpimage.png)

---

### Полезные ссылки

Подробные сведения о получении событий от Kaspersky Endpoint Detection and Response: [https://support.kaspersky.com/KATA/5.1/ru-RU/248949.htm](https://support.kaspersky.com/KATA/5.1/ru-RU/248949.htm)

Импорт событий Kaspersky Endpoint Detection and Response с помощью коннектора kata/edr: [https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm](https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm)

# KICS 3.1 и ниже

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout warning">Данная инструкция предназначена строго для версии KICS for Networks **3.1 или ниже**. Инструкция для версии 4.0 и выше находится в соответствующем разделе базы знаний.</p>

### Настройка KICS for Networks

Для настройки пересылки событий из KICS4Net в SIEM KUMA необходимо выполнить следующие действия:

1\. Перейти в веб-консоль KICS for Networks из-под учетной записи Администратора

2\. Перейти в раздел **Параметры** – **Коннекторы** и настроить параметры отправки событий в KUMA SIEM:  
**Тип коннектора**: SIEM;  
**Имя коннектора**: произвольное название, например, *KUMA;*  
**Адрес сервера**: IP-адрес MGMT интерфейса сервера KICS for Networks;  
**Адрес узла коннектора**: IP-адрес узла, на котором Вы устанавливаете коннектор (Если используется коннектор, располагаемый на сервере KICS for Networks, то указывается IP адрес MGMT интерфейса сервера. Если пакет с коннектором будет установлен на другом узле, то необходимо указать IP адрес этого узла);  
**Пароль для доступа к сертификату коннектора**: пароль для архива с сертификатом сервера KICS for Networks, который будет сформирован после применения настроек коннектора;  
**Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA;  
**Номер порта**: порт коллектора KUMA;  
**Транспортный протокол**: TCP или UDP.

[![kics1.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics1.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics1.png)

3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**.  
После сохранения настроек в списке коннекторов появится созданный коннектор. Для KICS for Networks 3.1 и ниже автоматически загрузится файл свертки с сертификатом сервера KICS for Networks, который необходимо перенести на узел, где установлен коннектор. Вновь созданный коннектор перейдет в режим **Ожидание регистрации** до того момента, как вы создадите службу на узле, где установлен коннектор.

[![kics2.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics2.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics2.png)

4\. Для создании службы необходимо на узле, где установлен коннектор, перейти в раздел `/opt/kaspersky/kics4net-connectors/sbin`

```bash
cd /opt/kaspersky/kics4net-connectors/sbin
```

и запустить скрипт `registrar.py`

```bash
python3 registrar.py create
```

Далее потребуется указать имя коннектора, имя архива с файлом свертки и пароль к архиву файла свертки, подтвердить запуск службы после ее создания.

[![kics3.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics3.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics3.png)

В результате в интерфейсе KICS for Networks созданный коннектор перейдет в состояние **Зарегистрирован**.

[![kics4.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics4.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics4.png)

---

### Настройка отправки событий

<p class="callout warning">По умолчанию события безопасности KICS for Networks не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.</p>

Для настройки отправки событий необходимо:  
1\. Перейти на вкладку **Параметры** – **Типы событий**  
2\. Выбрать один или несколько типов событий, которые необходимо передавать  
3\. Нажать на кнопку **Выбрать коннекторы**  
4\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события  
5\. Подтвердить выбор нажатием кнопки **ОК**

[![kics5.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics5.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics5.png)

После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора

[![kics6.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics6.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics6.png)

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KICS for Networks.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KICS for Networks.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KICS4Net v3.х**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка создания коннектора KICS for Networks (онлайн-справка KICS for Networks): [https://support.kaspersky.com/help/KICSforNetworks/3.1/ru-RU/136497.htm](https://support.kaspersky.com/help/KICSforNetworks/3.1/ru-RU/136497.htm)

# KICS 4.0 и выше

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout warning">Данная инструкция предназначена строго для версии KICS for Networks **4.0 или ниже**. Инструкция для версии 3.1 и ниже находится в соответствующем разделе базы знаний.</p>

### Настройка KICS for Networks

Для настройки пересылки событий из KICS for Networks в SIEM KUMA необходимо выполнить следующие действия:

1\. Перейти в веб-консоль KICS for Networks из-под учетной записи Администратора

2\. Перейти в раздел **Параметры** – **Коннекторы** и настроить параметры отправки событий в KUMA SIEM:  
**Тип коннектора**: SIEM;  
**Имя коннектора**: произвольное название, например, *KUMA;*  
**Адрес сервера**: IP-адрес MGMT интерфейса сервера KICS for Networks;  
**Адрес узла коннектора**: IP-адрес узла, на котором Вы устанавливаете коннектор (Если используется коннектор, располагаемый на сервере KICS for Networks, то указывается IP адрес MGMT интерфейса сервера. Если пакет с коннектором будет установлен на другом узле, то необходимо указать IP адрес этого узла);  
**Пароль для доступа к сертификату коннектора**: пароль для архива с сертификатом сервера KICS for Networks, который будет сформирован после применения настроек коннектора;  
**Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA;  
**Номер порта**: порт коллектора KUMA;  
**Транспортный протокол**: TCP или UDP.

[![kics1.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics1.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics1.png)

3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**.  
Начиная с версии 4.0 коннектор автоматически осуществит регистрацию в продукте.

В результате в интерфейсе KICS for Networks созданный коннектор перейдет в состояние **Зарегистрирован**.

[![kics4.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics4.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics4.png)

---

### Настройка отправки событий

<p class="callout warning">По умолчанию события безопасности KICS for Networks не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.</p>

Для настройки отправки событий необходимо:  
1\. Перейти на вкладку **Параметры** – **Типы событий**  
2\. Выбрать один или несколько типов событий, которые необходимо передавать  
3\. Нажать на кнопку **Выбрать коннекторы**  
4\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события  
5\. Подтвердить выбор нажатием кнопки **ОК**

[![kics5.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics5.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics5.png)

После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора

[![kics6.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics6.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics6.png)

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KICS for Networks.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KICS for Networks.

2\. На шаге **Парсинг** событий выберите соответствующий нормализатор.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка создания коннектора KICS for Networks (онлайн-справка KICS for Networks): [https://support.kaspersky.com/help/KICSforNetworks/4.0/ru-RU/136497.htm](https://support.kaspersky.com/help/KICSforNetworks/4.0/ru-RU/136497.htm)

# Microsoft

Подключение источников производителя Microsoft

# MS DNS

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Для KUMA 3.2 добавился новый способ сбора DNS логов в формате ETW. Подробнее в статье: [https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ms-etw-dns-analytics-kuma-32](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ms-etw-dns-analytics) </p>

### Настройка DNS сервера

Передача событий из MS DNS в KUMA осуществляется путем чтения лог файла DNS. По умолчанию запись событий в файл на DNS сервере выключена.

Чтобы включить логирование событий DNS в файл необходимо для начала создать папку, в которую будут записываться файлы событий DNS. Например, `<strong>C:\dns</strong>`.

После создания папки необходимо разрешить общий доступ на чтение к этой папке. Рекомендуется создать отдельного пользователя для этой операции.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/y0limage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/y0limage.png)

Далее необходимо запустить оснастку **DNS Manager**, выбрать нужный DNS сервер и перейти в свойства.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/puMimage.png)

В свойствах сервера необходимо перейти на вкладку **Debug Logging**, включить расширенное логирование и задать путь к файлу, в который будут записывать слоги DNS сервера. Размер лог файла рекомендуется 50 Мб.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/3dwimage.png)

---

### Монтирование папки в KUMA

Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи DNS сервера на сервер коллектора KUMA.

Для начала необходимо установить утилиту **cifs**, если она еще не установлена.

```
yum install -y cifs-utils
```

Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке `<strong>/root/.dns-secret</strong>` со следующим содержимым:

```bash
username=<имя пользователя с правами на чтение папки>
password=<пароль пользователя>
domain=<домен, в случае доменного пользователя>
```

Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера.

```
mkdir /mnt/dns
```

Далее в конец файла **/etc/fstab** необходимо добавить строку

```bash
\\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными>,cache=none 0 0
```

Пример:

```bash
\\dc-01.sales.lab\dns /mnt/dns cifs credentials=/root/.dns-secret,cache=none 0 0
```

Далее необходимо примонтировать общую папку командой:

```bash
mount -a
```

Для проверки успешности монтирования можно выполнить следующую команду:

```bash
ls /mnt/dns
```

В выводе консоли должен присутствовать файл логов DNS сервера с правами на чтение для всех пользователей

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kc2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kc2image.png)

---

### Создание коллектора KUMA

Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий.

На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя** коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/meWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/meWimage.png)

На втором шаге мастера необходимо выбрать тип подключения file и указать **папку** сервера коллектора, куда примонтирована папка с логами DNS сервера.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IWbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IWbimage.png)

На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] DNS Windows**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Zmpimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Zmpimage.png)

Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению.

На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/FtKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/FtKimage.png)

На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/SL0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/SL0image.png)

В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/T8Fimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/T8Fimage.png)

---

### Установка коллектора KUMA

Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA.

Для установки сервиса коллектора необходимо выполнить скопированную команду.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/mG3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/mG3image.png)

В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IaVimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IaVimage.png)

Для проверки поступления событий выберите соответствующий коллектор (галочка слева) и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события DNS сервера.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/qpzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qpzimage.png)

# MS DHCP

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка DHCP сервера

Передача событий из MS DHCP в KUMA осуществляется путем чтения лог файлов DHCP.

Откройте оснастку DHCP и убедитесь, что для DHCP сервера включено логирование.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/oVEimage.png)

События DHCP сервера пишутся в папку `C:\Windows\system32\dhcp\`. Для данной папки необходимо включить общий доступ на чтение.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/bxEimage.png)

После предоставления общего доступа у папки должен быть статус **Shared**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Bvjimage.png)

---

### Монтирование папки в KUMA

Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи DHCP сервера на сервер коллектора KUMA.

Для начала необходимо установить утилиту **cifs**, если она еще не установлена.

```bash
yum install -y cifs-utils
```

Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке **/root/.dhcp-secret** со следующим содержимым:

```bash
username=<имя пользователя с правами на чтение папки>
password=<пароль пользователя>
domain=<домен, в случае доменного пользователя>
```

Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера.

```bash
mkdir /mnt/dhcp
```

Далее в конец файла `/etc/fstab` необходимо добавить строку

```bash
\\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными> 0 0
```

Пример:

```bash
\\dc-01.sales.lab\dhcp /mnt/dhcp cifs credentials=/root/.dhcp-secret 0 0
```

Далее необходимо примонтировать общую папку командой:

```
mount -a
```

Для проверки успешности монтирования можно выполнить следующую команду:

```
ls /mnt/dhcp
```

В выводе консоли должны присутствовать файлы логов DHCP сервера с правами на чтение для всех пользователей

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/yr9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yr9image.png)

---

### Создание коллектора KUMA

Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий.

На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя коллектора**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/0uiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/0uiimage.png)

На втором шаге мастера необходимо выбрать тип подключения **file** и указать **маску пути** для файлов логов DHCP сервера.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/ZJlimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/ZJlimage.png)

Поддерживаемые маски:

- `*` – соответствует любой последовательности символов;
- `[' [ '^' ] { диапазон символов } ']` – класс символов (не должен быть пустым);
- `?` – соответствует любому одиночному символу.

Диапазоны символов:

- `[0-9]` – числа;
- `[a-zA-Z]` – буквы латинского алфавита.

Примеры:

- `/var/log/*som?[1-9].log`
- `/mnt/dns_logs/*/dns.log`
- `/mnt/proxy/access*.log`

  
На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] MS DHCP file**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/HUwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/HUwimage.png)

  
Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению.

На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vf2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vf2image.png)

  
На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EVwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EVwimage.png)

В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Sa0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Sa0image.png)

---

### Установка коллектора KUMA

Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA.

Для установки сервиса коллектора необходимо выполнить скопированную команду.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/pHQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/pHQimage.png)

В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/p6Kimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/p6Kimage.png)

Для проверки поступления событий выберите соответствующий коллектор (галочка слева) и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события DHCP сервера.

# MS WMI

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="allowfullscreen" class=" align-center" frameborder="0" height="315" src="https://www.youtube.com/embed/SxSDfGzCsO0?si=bKWWT0byXomL-OWv" title="YouTube video player" width="560"></iframe>



### Схема работы сбора по WMI

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-02/scaled-1680-/POAimage.png)

### Настройка аудита отдельного сервера  


Для настройки аудита на рядовом сервере/рабочей станции необходимо:  
Запустить оснастку **Local Security Policy - secpol.msc**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/ktWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/ktWimage.png)

Перейти в раздел Параметры безопасности/Локальные политики/Политика аудита и включить необходимые настройки аудита успешных и не успешных попыток.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/zhIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/zhIimage.png)

В общем случае, необходимо включить следующие параметры аудита

<table border="1" id="bkmrk-%D0%90%D1%83%D0%B4%D0%B8%D1%82-%D0%B2%D1%85%D0%BE%D0%B4%D0%B0-%D0%B2-%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 50%;"></col><col style="width: 50%;"></col></colgroup><tbody><tr><td>Аудит входа в систему</td><td>Успех, Отказ;</td></tr><tr><td>Аудит изменения политики</td><td>Успех, Отказ;</td></tr><tr><td>Аудит системных событий</td><td>Успех, Отказ;</td></tr><tr><td>Аудит событий схода в систему</td><td>Успех, Отказ;</td></tr><tr><td>Аудит управления учетными записями</td><td>Успех, Отказ;</td></tr></tbody></table>

<p class="callout info">Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)</p>

---

### Настройка аудита при помощи групповой политики

Для централизованной настройки аудита при помощи групповых политик домена, необходимо запустить оснастку **Group Policy Management**, выбрать нужную политику и перейти к редактированию – запустится **Group Policy Management Editor**. На примере, представленном ниже, настройка аудита выполняется в рамках **Default Domain Policy**:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/TyVimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/TyVimage.png)

В случае, если предполагается сбор журналов Windows c большого количества серверов, или если установка агентов на контроллеры домена не допускается, рекомендуется использовать перенаправление журналов на отдельные серверы с настроенной службой Windows Event Collector.

<p class="callout info">Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)</p>

---

### Настройка сервера - источника событий  


На сервере – источнике событий должны быть запущены следующие сервисы:

- Remote Procedure Call (RPC);
- RPC Endpoint Mapper.

Обозначенные выше сервисы могут быть запущены из оснастки **Службы** в Windows.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/mi1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/mi1image.png)

Также на сервере источнике событий должны быть открыты порты TCP: 135, 445, 5985, 49152-65535. Открыть данные порты для входящих подключений можно с помощью оснастки **Брандмауэра защитника Windows в режиме повышенной безопасности**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eYximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eYximage.png)

Для проверки доступности целевых серверов – источников событий с компьютера, на котором планируется установка wmi-агента можно выполнить следующую команду из PowerShell:

```powershell
Get-WmiObject -Namespace "root\cimv2" -Class Win32_Process -Impersonation 3 -ComputerName <hostname целевой машины>
```

---

### Проверка работы выполнения удаленных WMI запросов на источнике

Выполните с хоста, где планируется к установке KUMA Agent следующую команду в PowerShell для проверки работы WinRM на удаленой машине:

```powershell
Test-WSMan -ComputerName <Имя компьютера или IP>
```

При успешной проверке получим следующий результат:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Llcimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Llcimage.png)

Для проверки доступа к журналам по WMI, можно выполнить следующую команду (не обязательно дожидаться конца выполнения запроса, если будет ошибка она сразу появится):

```powershell
$strComputer = "dc-01.sales.lab"
    $colLogFiles = Get-WmiObject -Class Win32_NTEventLogFile -ComputerName $strComputer | Where-Object {$_.LogFileName -eq 'security'}
    foreach ($objLogFile in $colLogFiles) 
    { 
        "Record Number: " + $objLogFile.NumberOfRecords
        "Maximum Size: " + $objLogFile.MaxFileSize
}
```

---

### Создание коллектора KUMA

Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы – Коллекторы** и нажмите на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** нажать на кнопку на кнопку **Подключить источник событий**.

После выполнения указанных действий откроется соответствующий мастер. На первом шаге необходимо выбрать **Имя** коллектора и **Тенант**, к которому он будет принадлежать.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Mukimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Mukimage.png)

На втором шаге мастера необходимо выбрать транспорт. В данном случае рекомендуется использовать **http**. В поле URL необходимо указать порт, на котором коллектор будет ожидать соединение от агента. В качестве разделителя необходимо указать **\\0**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Gqaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Gqaimage.png)

На вкладке **Дополнительные параметры** для шифрованной передачи данных между агентом и коллектором необходимо выбрать **Режим TLS - С верификацией**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/D6himage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/D6himage.png)

На третьем шаге мастера необходимо указать нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows **\[OOTB\] Windows Extended v.0.3**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vcfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vcfimage.png)

Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее.

На седьмом шаге мастера необходимо указать точки назначения. Для хранения событий необходимо добавить точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям необходимо добавить точку назначения типа **Коррелятор**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eFDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eFDimage.png)

На завершающем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/JFfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/JFfimage.png)

Также после выполнения указанных действий на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/HZ6image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/HZ6image.png)

---

### Установка коллектора KUMA

Для установки сервиса коллектора необходимо из командной строки выполнить команду, скопированную на прошлом шаге.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GBBimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GBBimage.png)

Также необходимо добавить порт коллектора в исключения фаервола и обновить параметры службы

```bash
firewall-cmd --add-port=5544/tcp --permanent
firewall-cmd --reload
```

После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Eq9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Eq9image.png)

---

### Создание агента KUMA  


Для создания агента в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы – Агенты** и нажмите на кнопку Добавить агент.

В открывшейся вкладке Общие параметры необходимо выбрать **Имя** агента и **Тенант**, к которому он будет принадлежать.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Gptimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Gptimage.png)

На вкладке **Подключение 1** в параметрах коннектора необходимо задать тип **wmi**. Для пункта Удаленные хосты необходимо задать параметры подключения к удаленным хостам со следующими ограничениями:

- имя хоста должно содержать полный **FQDN** хоста или **ip-адрес**;
- домен хоста должен содержать **домен** хоста или, в случае отсутствия домена **FQDN** или **ip-адрес** хоста;
- тип журналов задается в соответствии с требованиями к логированию;
- в поле секрет необходимо выбрать или создать новый секрет типа **credentials** с указанием **логина и пароля**, при этом логин необходимо задавать **без доменной части (user – правильно, domain\\user – неправильно, user@domain -–неправильно)**. Учетная запись заданная в параметрах доступа к хосту должна быть членом группы читателей журнала событий (подробнее см. **Приложение А**).

Указывать и использовать для настройки подключения к хостам **учетную запись по умолчанию (Default credentials) не рекомендуется**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/C7Iimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/C7Iimage.png)

<p class="callout info">Указываем IP в полях Хост и Домен в случае, если используется локальная УЗ на системе для собора логов, иначе имя хоста и его домен. В параметрах Секрет НЕ указывайте домен, достаточно использовать логин и пароль.  
</p>

В общих параметрах точки назначения необходимо указать тип **http** (должен совпадать с настройками коллектора). URL нужно указать в формате **fqdn:port** (FQDN коллектора и порт, должны совпадать с настройками коллектора).

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/q31image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/q31image.png)

**Для версии 3.0+ параметр State (Состояние) должен быть включен:**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/cxFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/cxFimage.png)

В дополнительных параметрах необходимо указать **Режим TLS С верификацией**, если требуется шифровать соединение между коллектором и агентом (настройка должна совпадать с соответствующей на стороне коллектора). Разделитель необходимо указать **\\0** (должен совпадать с настройками коллектора). Также на изображении ниже приведены дополнительные параметры и их рекомендуемые значения.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/USDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/USDimage.png)

После указания всех параметров необходимо сохранить созданный ресурс агента.

---

### Публикация агента KUMA  


В разделе **Ресурсы – Активные сервисы** необходимо опубликовать созданную конфигурацию KUMA Windows Agent.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/xl0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/xl0image.png)

После публикации сервиса необходимо скопировать id данного сервиса для последующей установки на компьютере под управлением Windows.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/jZKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/jZKimage.png)

---

### Установка агента KUMA  


Выполняется на сервере Windows, журналы которого необходимо направить в KUMA. Предварительно FQDN KUMA должен быть добавлен в файл **hosts** на целевой машине, либо добавлен в DNS-зону организации.

- в файловой системе сервера рекомендуется создать папку `C:\Users\<имя пользователя>\Desktop\KUMA`
- скопировать в нее бинарный файл kuma.exe

Файл **kuma.exe** находится в архиве пакетов установки KUMA

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Ooeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Ooeimage.png)

- запустить командную строку с правами администратора
- примите лицензионное соглашение: `C:\Users\<имя пользователя>\Desktop\KUMA\kuma.exe license`
- перейти в папку `C:\Users\<имя пользователя>\Desktop\KUMA`
- назначить учетной записи пользователя, от имени которой будет запускаться агент права входа в качестве службы (см. [**Приложение Б**](https://kb.kuma-community.ru/books/sablony/page/ms-wec#bkmrk-%E2%80%83%D0%9F%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5-%D0%91.-%D0%9D%D0%B0%D0%B7%D0%BD%D0%B0)) и права на чтение журнала событий (см. [**Приложение А**](https://kb.kuma-community.ru/books/sablony/page/ms-wec#bkmrk-%E2%80%83%D0%9F%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5-%D0%90.-%D0%9D%D0%B0%D0%B7%D0%BD%D0%B0)).
- запустить установку агента командой:

```powershell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://<DOMAIN-NAME-KUMA-CORE-Server>:7210 --id <Windows Agent ID> –-user <Windows User> --install
```

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/I6uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/I6uimage.png)

В результате, в ОС установится сервис **KUMA Windows Agent &lt;Windows Agent ID&gt;**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/qCaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qCaimage.png)

Если статус агента веб-интерфейсе KUMA отображается как **red**, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector.

Для удаления сервиса агента по окончанию тестирования продукта из ОС можно посредством следующей команды:

```powershell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id <Windows Agent ID> --uninstall
```

---

### Приложение А. Назначение прав читателя журнала событий  


Предоставить права читателя журнала событий в рамках домена можно при помощи оснастки **Active Directory Users and Computers** домена, добавив соответствующую учетную запись пользователя или компьютера в встроенную группу **Event Log Readers**:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/SAZimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/SAZimage.png)

  
Для отдельного компьютера необходимо перейти в оснастку **Управление компьютером**, выбрать пункт **Локальные пользователи и группы**, перейти на вкладку **Группы**, выбрать группу **Event Log Readers** и добавить в нее соответствующую учетную запись пользователя или компьютера:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/urzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/urzimage.png)

---

### Приложение Б. Назначение прав входа в качестве службы  


Для назначения прав входа в качестве службы для компьютеров домена необходимо открыть оснастку Group Policy Management, выбрать необходимую политику (в данном примере это Default Domain Policy) и нажать на кнопку редактирования политики.

  
В открывшемся окне необходимо перейти по пути **Computer Configuration – Windows Settings – Security Settings – Local Policies – User Rights Assignment** и в свойства **Log on as service** добавить соответствующую учетную запись пользователя. Дополнительно, необходимо убедиться, что соответствующая учетная запись отсутствует в свойствах **Deny log on as service**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7fCimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/7fCimage.png)

После сохранения настроек для их применения на целевом компьютере необходимо из командной строки, запущенной от имени администратора выполнить команду: `gpupdate /Force`

Права входа в качестве службы можно настроить локально для отдельного компьютера с помощью оснастки **Local Security Policy**. Для этого необходимо выбрать пункт **Local Policies**, перейти на вкладку **User Rights Assignment** и в свойства **Log on as service** добавить соответствующую учетную запись пользователя. Дополнительно, необходимо убедиться, что соответствующая учетная запись отсутствует в свойствах **Deny log on as service**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/yWhimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yWhimage.png)

# MS WEC

Настройка сбора событий с устройств Windows при помощи Агента KUMA (WEC).

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/248413.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/248413.htm) </p>

### <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="allowfullscreen" class=" align-center" frameborder="0" height="315" src="https://www.youtube.com/embed/SxSDfGzCsO0?si=bKWWT0byXomL-OWv" title="YouTube video player" width="560"></iframe>



### Схема работы сбора с WEC (Windows Event Collector)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-02/scaled-1680-/Fkfimage.png)

### Рекомендации для сервера WEC

<div id="bkmrk-%D0%A0%D0%B5%D0%BA%D0%BE%D0%BC%D0%B5%D0%BD%D0%B4%D0%B0%D1%86%D0%B8%D1%8F%D0%BC-micros">- Рекомендациям Microsoft по мощностям WEC сервера (4-8 CPU 16 GB) - [https://docs.microsoft.com/en-us/troubleshoot/windows-server/admin-development/configure-eventlog-forwarding-performance](https://docs.microsoft.com/en-us/troubleshoot/windows-server/admin-development/configure-eventlog-forwarding-performance)
- Рекомендация использовать до 1500 станций на один сервер (максимум по указанным выше мощностям 4000 машин)
- на котроллеры домена не надо ставить ничего лишнего
- события с контроллеров домена необходимо собирать с использованием механизмов, рекомендуемых MS. В данном случае это будут серверы WEC

</div>### Отказоустойчивый сбор событий с WEC

<div id="bkmrk-%D0%BD%D0%B0-%D0%BA%D0%BE%D1%82%D1%80%D0%BE%D0%BB%D0%BB%D0%B5%D1%80%D1%8B-%D0%B4%D0%BE%D0%BC%D0%B5%D0%BD%D0%B0">- на котроллеры домена не надо ставить ничего лишнего
- события с контроллеров домена необходимо собирать с использованием механизмов, рекомендуемых MS. В данном случае это будут серверы WEC

</div><div id="bkmrk-%D0%92-%D0%BE%D0%B4%D0%BD%D0%BE%D0%B9-%D0%B8%D0%BD%D1%81%D1%82%D0%B0%D0%BB%D0%BB%D1%8F%D1%86%D0%B8%D0%B8%2C">В одной инсталляции, события на контроллерах домена хранятся очень мало – ротация примерно через 3-5 минут. Поэтому чтобы гарантировать доставку, если по какой-то причине WEС не доступен, предлагается следующая схема:</div><div id="bkmrk-%D0%B8%D1%81%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D1%82%D1%8C-2-wec-%D1%81">- использовать 2 WEC сервера
- все DC отправляют события не на один, а на 2 WEC сервера (события обоих WEC дублируются)
- на каждом WEC сервере установлены KUMA Agent
- оба KUMA Agent отправляют события в ОДИН и тот же коллектор Windows (это важный момент)
- на коллекторе Windows настраивается агрегация события, чтобы дубли событий с обоих WEC серверов были агрегированы в одно событий

</div><div id="bkmrk-%D0%A1-%D1%8D%D1%82%D0%B8%D0%BC-%D0%BE%D0%B4%D0%BD%D0%B8%D0%BC-%D1%81%D0%BE%D0%B1%D1%8B%D1%82%D0%B8%D0%B5">С этим одним событием, прошедшее через такую сложную цепочку и работает KUMA. Это позволит выполнять обслуживание, перезагружать WEC коллекторы (но не одновременно), без потери потока данных с контролеров </div>### Описание схемы работы с Windows Event Collector

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Компоненты схемы</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: EN-US;">:</span>

- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">Источники событий (рабочие станции/серверы).</span>
- <span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Event</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Collector</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> сервер или </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервер (сервер, с запущенной службой «Сборщик событий Windows». Данный сервер на основании создаваемых подписок на события получает события от источников и обеспечивает их локальное хранение. Взаимодействие между </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервером и источниками событий осуществляется с использованием протокола удаленного управления </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> (WS-Management protocol). Для настройки доступно два типа подписок:</span>
    - **<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Source</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">initiated</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">subscriptions</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> (</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Push</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">)</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> — события отправляются источником. Источники настраиваются на отправку событий на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервер с помощью </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">GPO</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">.</span>
    - **<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Collector</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">initiated</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">subscriptions</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> (</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Pull</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">)</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> — события собираются </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервером самостоятельно. </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервер подключается к рабочим станциям/серверам и забирает события из локальных журналов.</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">Агент </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> (компонент </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">, устанавливаемый на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">-сервер для отправки собранных событий с источников в коллектор </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">).</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">Коллектор </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">(компонент </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">, обеспечивающий прием/нормализацию/агрегацию/фильтрацию событий, полученных от агента </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">, и их дальнейшую отправку в коррелятор и/или хранилище </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: RU;">).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">В данном примере мы рассмотрим вариант **Source-initiated subscriptions (режим** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: EN-US;">Push</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">) </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">ввиду того, что этот режим более предпочтителен из-за отсутствия необходимости настройки «прослушивания» входящих соединений службой </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;"> на источниках событий.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Также о Windows Event Collector можно почитать здесь: <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; font-family: 'Segoe UI',sans-serif;"><span style="font-size: 10.0pt; mso-bidi-font-size: 11.0pt; line-height: 107%; font-family: 'Arial',sans-serif; mso-ascii-theme-font: major-latin; mso-fareast-font-family: Arial; mso-fareast-theme-font: minor-latin; mso-hansi-theme-font: major-latin; mso-bidi-theme-font: major-latin; mso-ansi-language: RU; mso-fareast-language: EN-US; mso-bidi-language: AR-SA;">[<span style="mso-bidi-font-size: 10.0pt; line-height: 107%;">https://learn.microsoft.com/en-us/windows/win32/wec/windows-event-collector</span>](https://learn.microsoft.com/en-us/windows/win32/wec/windows-event-collector)</span><span style="font-size: 10.0pt; line-height: 107%; font-family: 'Arial',sans-serif; mso-ascii-theme-font: major-latin; mso-fareast-font-family: Arial; mso-fareast-theme-font: minor-latin; mso-hansi-theme-font: major-latin; mso-bidi-theme-font: major-latin; mso-ansi-language: RU; mso-fareast-language: EN-US; mso-bidi-language: AR-SA;">.</span></span></span>

### Настройка политики аудита

<span style="mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">По умолчанию на устройствах Windows аудит событий не осуществляется.</span>

#### Настройка политики аудита на отдельной рабочей станции/сервере

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Запустите оснастку **Локальная политика безопасности** (нажмите кнопку **W**</span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-ansi-language: EN-US;">in</span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;"> введите **secpol.msc** и запустите **Локальная политика безопасности** от имени администратора).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/xXQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/xXQimage.png)

<span style="mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Перейдите в политику аудита (**Локальные политики** </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;"> **Политика аудита**).</span>

<span style="mso-ascii-font-family: Arial; mso-ascii-theme-font: major-latin; mso-hansi-font-family: Arial; mso-hansi-theme-font: major-latin; mso-bidi-font-family: Arial; mso-bidi-theme-font: major-latin;">Настройте параметры аудита согласно скриншоту (при необходимости включите аудит оставшихся политик).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Q5Rimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Q5Rimage.png)

<p class="callout info">Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)</p>

#### Настройка политики аудита для группы рабочих станций/серверов средствами GPO

<span style="mso-bidi-font-family: Arial;">При наличии опыта администрирования </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;"> инфраструктуры вы можете использовать наиболее привычный для Вас способ настройки. Ниже описан один из вариантов настройки.</span>

<span style="mso-bidi-font-family: Arial;">Создайте группу компьютеров средствами **«**</span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Active</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Directory</span><span style="mso-bidi-font-family: Arial;"> – пользователи и компьютеры». </span>**<span style="mso-bidi-font-family: Arial;">Добавьте в данную группу рабочие станции/серверы, с которых предполагается сбор событий. </span>

<span style="mso-bidi-font-family: Arial;">Для того, чтобы изменения вступили в силу (в данном случае членство в новой группе), необходимо выполнить перезагрузку устройства. Альтернативным вариантом может быть перевыпуск </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Kerberos</span><span style="mso-bidi-font-family: Arial;">-тикетов для устройства с помощью </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">klist</span><span style="mso-bidi-font-family: Arial;">.</span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">exe</span><span style="mso-bidi-font-family: Arial;">.</span>

<p class="callout info"><span style="mso-bidi-font-family: Arial;">Если предполагается сбор событий с контроллера домена, в таком случае, контроллер домена **можно не добавлять в созданную группу компьютеров**, добавив отдельно в **Фильтр безопасности** при настройке GPO</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/boNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/boNimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На контроллере домена запустите оснастку **Управление групповой политикой** (нажмите **Win + R** </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> **gpmc.msc**).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выберите существующий объект групповой политики или создайте новый. В данном примере создается новый объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> (правой кнопкой мыши **Объекты групповой политики** </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Создать</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;"> -&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">введите в имени</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;"> </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Audit Policy </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ibsimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ibsimage.png)

<span style="mso-bidi-font-family: Arial;">Далее выберите созданный объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-family: Arial;"> и нажмите **Изменить.**</span>

<span style="mso-bidi-font-family: Arial;">В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; Политики -&gt;</span><span style="mso-bidi-font-family: Arial;"> Конфигурация Windows </span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-family: Arial;"> Параметры безопасности </span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-family: Arial;"> Локальные политики </span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-family: Arial;"> Политики аудита</span>**<span style="mso-bidi-font-family: Arial;"> и настройте параметры аудита согласно скриншоту (при необходимости включите аудит оставшихся политик).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/9Ouimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/9Ouimage.png)

<span style="mso-bidi-font-family: Arial;">Далее вернитесь в **Управление групповой политикой** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-family: Arial;">выберите</span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;"> </span><span style="mso-bidi-font-family: Arial;">объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-family: Arial;">в окне справа **Фильтры безопасности** удалите группу **Прошедшие проверку** и добавьте группу </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">.</span>**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kaSimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kaSimage.png)

<span style="mso-bidi-font-family: Arial;">Нажмите правой кнопкой мыши на домен и выберите **Связать существующий объект групповой политики** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-family: Arial;">выберите **Audit Policy for KUMA** и нажмите **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/T1Limage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/T1Limage.png)

<span style="mso-bidi-font-family: Arial;">Итоговый вид политики должен выглядеть следующим образом (см. скриншот).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/islimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/islimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В целом, групповые политики Active Directory можно назначать на OU, сайт или весь домен.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для того, чтобы новые параметры аудита, заданные в </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">GPO</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">, были применены на рабочих станциях/серверах </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях:</span>

- <span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">перезагрузка устройства и вход пользователя</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью команды </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">gpupdate</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на рабочей станции/сервере)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную из консоли </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Group</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Policy</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Management</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Console</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на контроллере домена, только для </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">OU</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена)</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для проверки успешного применения </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">GPO</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> запустите оснастку **Локальная политика безопасности** на одной из рабочих станций/сервере (нажмите WIN + </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">R</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> введите secpol.msc и запустите **Локальная политика безопасности** от имени администратора) </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> перейдите в политику аудита (**Локальные политики** &gt;<span style="mso-spacerun: yes;"> </span>**Политика аудита**) </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">убедитесь, что параметры аудита соответствуют скриншоту.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4egimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4egimage.png)

<p class="callout info">Примеры рекомендованных политик аудита можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)</p>

### Настройка WEC-сервера

#### Настройка службы Windows Event Collector (WEC)

<span style="mso-bidi-font-family: Arial;">Проверьте наличие запущенной службы </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> на </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервере с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
Test-WSMan
```

<span style="mso-bidi-font-family: Arial;">Вывод в случае если служба </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> запущена:</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gnIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gnIimage.png)

<span style="mso-bidi-font-family: Arial;">Если появилось сообщение, что «Клиенту не удается подключиться к узлу назначения, указанному в запросе. Убедитесь, что служба на узле назначения работает и принимает запросы»,<span style="mso-spacerun: yes;"> </span>запустите на </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервере службу WinRM с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```bash
winrm qc
```

<span style="mso-bidi-font-family: Arial;">При применении команды согласиться с выполнением изменений. После включения службы </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервер начнет «прослушивать» соединения на порт TCP/5985 от источников событий.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/mt1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/mt1image.png)

<span style="mso-bidi-font-family: Arial;">Команда winrm qc одновременно включает Windows Remote Shell (WinRS) и разрешает принимать входящие соединения для удаленного управления через функционал WinRS. Отключить WinRS можно следующей командой:</span>

```powershell
winrm set winrm/config/Winrs ‘@{AllowRemoteShellAccess = "false"}’
winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ # проверка, что WinRS отключен
```

<span style="mso-bidi-font-family: Arial;">Включите на </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервере службу сборщика событий Windows («Сборщик событий </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;">») с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
wecutil qc
```

<span style="mso-bidi-font-family: Arial;">При включении службы сборщика событий Windows в Windows Firewall автоматически создается разрешающее правило для входящих соединений по TCP/5985.</span>

#### Настройка подписки на WEC-сервере

<span style="mso-bidi-font-family: Arial;">Нажмите кнопку </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span>**<span style="mso-bidi-font-family: Arial;">, введите **eventvwr.msc** и запустите **Просмотр событий** от имени администратора. Выберите **Подписки** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-family: Arial;">правой кнопкой мыши **Создать подписку** -&gt; Укажите имя подписки, например, KUMA WEC и тип подписки **Инициировано исходным компьютером.**</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/jVTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/jVTimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выберите группы компьютеров, события которых требуется собирать. В нашем примере – это KUMA WEC (**Выбрать группы компьютеров** -&gt; **Добавить доменный компьютер** -&gt; в поле **Введите имена выбираемых объектов** укажите ранее созданную группу компьютеров и нажмите **ОК**).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В качестве альтернативы вместо группы компьютеров можно добавить необходимые рабочие станции/серверы по отдельности.</span>

<p class="callout info"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-bidi-font-family: Arial;">Если предполагается сбор событий с контроллера домена, в таком случае, контроллер домена **можно добавить как отдельный доменный компьютер**</span></span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/z1Simage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/z1Simage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Ppiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Ppiimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/czRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/czRimage.png)

**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">Задайте собираемые события </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">(**Выбрать события** </span><span style="mso-bidi-font-family: Arial;">-&gt; Настройте параметры, как на скриншоте ниже</span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">). В данном **примере** </span><span style="mso-bidi-font-family: Arial;">с источников собираются следующие события (Рекомендованные ID события можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib#bkmrk-windows)): 4624,4625,4662,4719,4720,4722,4724,4725,4726,4728,4729,4739,4740,4767,4768,4769,4771,5136.</span>

<span style="mso-bidi-font-family: Arial;">Нажмите **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/AyDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/AyDimage.png)

<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">Далее перейдите в **Дополнительно** и для параметра **Оптимизация доставки событий** укажите **Уменьшенная задержка**. Нажмите **ОК**. </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/G07image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/G07image.png)

<p class="callout warning"><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">В одну подписку можно добавить **не более 22** уникальных Event ID (кодов событий). Если указать больше, то на стороне источников событий (Журналы приложений и служб/Microsoft/Windows/Eventlog-ForwardingPlugin/Operational) появится ошибка **"Не удается создать подписку &lt;Наименование подписки&gt;. Код ошибки: 5004."**, при этом события от источников перестанут поступать на <span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервер.  
  
</span>Поэтому, если стоит задача собирать большое количество разных типов событий, в таком случае **создайте несколько подписок**, в каждой из которых будет свой уникальный набор Event ID.  
  
Если в подписке не задан фильтр по Event ID, то есть используется значение по умолчанию **"&lt;Все коды событий&gt;"**, ограничение в 22 уникальных Event ID отсутствует и выполняется сбор всех журналируемых событий.</span></p>

<p class="callout warning"><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">При наличии одинаковых Event ID в разных подписках, события будут дублироваться, как на WEC-сервере, так и в KUMA. Поэтому при создании нескольких подписок проверьте наличие дубликатов Event ID.</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/iU4image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/iU4image.png)

### [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/TA1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/TA1image.png)

### Настройка WinRM и подписки на источниках событий

#### Для отдельной рабочей станции/сервера

##### Настройка службы WinRM

<span style="mso-bidi-font-family: Arial;">Проверьте наличие запущенной службы </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> на рабочей станции/сервере с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
Test-WSMan
```

<span style="mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-family: Arial;">Вывод в случае, если служба </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> запущена: </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4Veimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4Veimage.png)

<span style="mso-bidi-font-family: Arial;">Если появилось сообщение, что «Клиенту не удается подключиться к узлу назначения, указанному в запросе. Убедитесь, что служба на узле назначения работает и принимает запросы», запустите на рабочей станции/сервере службу WinRM с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
winrm qc
```

<span style="mso-bidi-font-family: Arial;">При применении команды согласиться с выполнением изменений, **кроме** «Служба </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> не настроена на разрешение удаленного управления компьютером. Разрешите исключение брандмауэра </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;">».</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Qlyimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Qlyimage.png)

<span style="mso-bidi-font-family: Arial;">После включения службы </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-family: Arial;">рабочая станция/сервер начнет «прослушивать» соединения на порт TCP/5985. Для отключения данного </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">listener</span><span style="mso-bidi-font-family: Arial;">’а (т.к. рабочая станция/сервер инициирует соединение к </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-серверу, выступая в качестве клиента) выполните следующую команду в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
Remove-WSManInstance winrm/config/Listener -SelectorSet @{Address="*";Transport="http"}
```

<span style="mso-bidi-font-family: Arial;">Команда `winrm qc` одновременно включает Windows Remote Shell (WinRS) и разрешает принимать входящие соединения для удаленного управления через функционал WinRS. Отключить WinRS можно следующей командой:</span>

```powershell
winrm set winrm/config/Winrs ‘@{AllowRemoteShellAccess = "false"}’
winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ # проверка, что WinRS отключен
```

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На источнике событий требуется предоставить доступ к журналам аудита службе WinRM путем включения встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20) в локальную группу BUILTIN \\ Event Log Readers («Читатели журнала событий»).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для этого нажмите кнопку </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-&gt; введите </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">lusrmgr</span>**<span style="mso-bookmark: _Hlk145947706;">**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.msc</span>**</span><span style="mso-bookmark: _Hlk145947706;"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">и<span style="color: black;"> </span>запустите **Локальные пользователи и группы** от имени администратора. В появившемся окне выберите перейдите в **Группы** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> выберите группу **Читатели журнала событий** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">правой кнопкой мыши **Свойства** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Добавить</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> -&gt; в **Размещение** выберите имя рабочей станции -&gt; в поле **Введите имена выбираемых объектов** укажите **NETWORK SERVICE** -&gt; **Проверить имена** -&gt; как только УЗ будет найдена нажмите **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/3lvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/3lvimage.png)

<p class="callout info"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для сбора событий журнала Security с контроллера домена необходимо предоставить доступ к журналу встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20), из-под которой запускается сервис WinRM.  
Для этого на контроллере домена в PowerShell выполните следующую команду:  
wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'</span></p>

##### Настройка подписки

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Нажмите кнопку </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-&gt; введите **Политики** и<span style="color: black;"> </span>запустите **Изменение групповой политики** от имени администратора. В появившемся окне перейдите в **Конфигурация компьютера -&gt; Административные шаблоны -&gt; Компоненты Windows -&gt; Пересылка событий -&gt; Настроить конечный диспетчер подписки.** Выберите **Включено** и нажмите **Показать**. В появившемся окне введите параметры </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервера: </span>

`<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Server=http://<обязательно </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> (<span style="color: red;">не </span></span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; color: red; mso-ansi-language: EN-US;">IP</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; color: red;"> !!!</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">) </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервера>:5985/wsman/SubscriptionManager/WEC,Refresh=60</span>`

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">где 60 – частота обращения (в секундах) источников событий к </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-серверу за новыми инструкциями по пересылке журналов.</span>

<p class="callout warning"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Источники событий должны иметь возможность «резолвить» FQDN WEC-сервера для отправки событий. Для этого создайте A-запись на DNS-сервере или создайте запись локально в файле hosts</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eJiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eJiimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Hkeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Hkeimage.png)

<span style="mso-bidi-font-family: Arial;">После применения данной настройки перезапустите службу WinRM </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">c</span><span style="mso-bidi-font-family: Arial;"> помощью </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell-</span><span style="mso-bidi-font-family: Arial;">команды:</span>

```powershell
Restart-Service -Name WinRM
```


#### Для группы рабочих станций/серверов средствами GPO

##### Настройка службы WinRM

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">При наличии опыта администрирования </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> инфраструктуры вы можете использовать наиболее привычный для Вас способ настройки. Ниже описан один из вариантов.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На контроллере домена запустите оснастку **Управление групповой политикой** (нажмите Win + R </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> gpmc.msc).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выберите ранее использовавшийся объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> и нажмите **Изменить.**</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/s6Iimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/s6Iimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Конфигурация </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Параметры безопасности </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; Системные службы</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">в списке служб найдите «Служба удаленного управления </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> (</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WS</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Management</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">)» </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span>Свойства </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/TJLimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/TJLimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Далее перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Настройка </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Параметры панели управления<span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">Службы</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">справа в окне нажмите **Создать** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; Службы -&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> укажите параметры согласно скриншоту ниже. </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eZfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eZfimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Перейдите во вкладку **Восстановление** и укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/JxRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/JxRimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Политики </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Административные шаблоны<span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">Компоненты </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US; mso-fareast-language: RU; mso-no-proof: yes;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span>Удаленное управление </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; Служба удаленного управления </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US; mso-fareast-language: RU; mso-no-proof: yes;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> выберите **Разрешить удаленное администрирование сервера средствами** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> и укажите параметры согласно скриншоту ниже. </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/m4Qimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/m4Qimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Политики </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Административные шаблоны<span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">Компоненты </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US; mso-fareast-language: RU; mso-no-proof: yes;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span>Удаленное оболочка </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"><span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> выберите **Разрешить доступ к удаленной оболочке** и укажите параметры согласно скриншоту ниже. </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/p2Zimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/p2Zimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Также на источниках событий требуется предоставить доступ к журналам аудита службе WinRM путем включения встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20) в локальную группу BUILTIN \\ Event Log Readers («Читатели журнала событий»).</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для этого выберите ранее использовавшийся объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> и нажмите **Изменить.**</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Настройка </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Параметры панели управления </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">нажмите правой кнопкой мыши на **Локальные пользователи и группы** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> Создать </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Локальная группа. </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В появившемся окне укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**.</span>

<p class="callout info"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">При добавлении члена локальной группы введите NETWORK SERVICE и нажмите ОК.</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/FPMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/FPMimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для того, чтобы новые параметры групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">были применены на рабочих станциях/серверах </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях:</span>

- <span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">перезагрузка устройства и вход пользователя</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью команды </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">gpupdate</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на рабочей станции/сервере)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную из консоли </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Group</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Policy</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Management</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Console</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на контроллере домена, только для </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">GPO</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена)</span>

<span style="mso-bidi-font-family: Arial;">Проверьте наличие запущенной службы </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> на одной из рабочих станций/сервере с помощью следующей команды в </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">PowerShell</span><span style="mso-bidi-font-family: Arial;">:</span>

```powershell
Test-WSMan
```

<span style="mso-bidi-font-family: Arial;">Вывод в случае, если служба </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WinRM</span><span style="mso-bidi-font-family: Arial;"> запущена: </span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DKKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DKKimage.png)

<span style="mso-bidi-font-family: Arial;">Убедитесь, что WinRS отключен с помощью следующей команды:</span>

```powershell
winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ 
```

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Qvbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Qvbimage.png)

<span style="mso-bidi-font-family: Arial;">Убедитесь, что порт TCP/5985 не «прослушивается» (т.к. рабочая станция/сервер инициирует соединение к </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-серверу, выступая в качестве клиента):</span>

```shell
netstat -aon -p TCP  # выполнить в cmd
```

<p class="callout info"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для сбора событий журнала Security с контроллера домена необходимо предоставить доступ к журналу встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20), из-под которой запускается сервис WinRM.  
Для этого на контроллере домена в PowerShell выполните следующую команду:  
wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'</span></p>

##### Настройка подписки

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выберите ранее использовавшийся объект групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> и нажмите **Изменить.**</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера -&gt; Политики -&gt; Административные шаблоны -&gt; Компоненты Windows -&gt; Пересылка событий -&gt; Настроить конечный диспетчер подписки.** Выберите **Включено** и нажмите **Показать**. В появившемся окне введите параметры </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервера:</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">`Server=http://<обязательно `</span>`<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> сервера-коллектора>:5985/wsman/SubscriptionManager/WEC,Refresh=60</span>`

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">где 60 – частота обращения (в секундах) источников событий к серверу за новыми инструкциями по пересылке журналов. </span>

<p class="callout warning"><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Источники событий должны иметь возможность «резолвить» </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервера для отправки событий. Для этого создайте </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">A</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-запись на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">DNS</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере или создайте запись локально в файле </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">hosts</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/NVcimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/NVcimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/KYsimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/KYsimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для того, чтобы новые параметры групповой политики **Audit Policy** </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">for</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> были применены на рабочих станциях/серверах </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях:</span>

- <span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">перезагрузка устройства и вход пользователя</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью команды </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">gpupdate</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на рабочей станции/сервере)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную из консоли </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Group</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Policy</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Management</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Console</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;"> (на контроллере домена, только для </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">OU</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">)</span>
- <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: RU;">вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена)</span>

### Проверка поступления событий

<span style="mso-bidi-font-family: Arial;">Убедитесь, что на </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-family: Arial;">-сервер поступают события с рабочих станций/серверов. Для этого нажмите кнопку </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span>**<span style="mso-bidi-font-family: Arial;">, введите **eventvwr.msc** и запустите **Просмотр событий** от имени администратора. Перейдите в **Журналы** </span>**<span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;<span style="mso-spacerun: yes;"> </span></span><span style="mso-bidi-font-family: Arial;">Перенаправленные события. </span>**<span style="mso-bidi-font-family: Arial;">Если в появившемся окне **Перенаправленные события** отображаются события с источников, значит подписка работает корректно.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/YXQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/YXQimage.png)

<p class="callout warning"><span style="mso-bidi-font-family: Arial;">Для MS Server 2016 и 2019 в случае если события не пересылаются, выполнить шаги по **[этой инструкции](https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/admin-development/events-not-forwarded-by-windows-server-collector)**. При добавлении разрешения для URL-адреса с помощью **netsh http add urlacl** добавьте кавычки "..." в параметре SDDL:  
`netsh http delete urlacl url=http://+:5985/wsman/netsh http add urlacl url=http://+:5985/wsman/ sddl="D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-2996563517)"netsh http delete urlacl url=https://+:5986/wsman/netsh http add urlacl url=https://+:5986/wsman/ sddl="D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-2996563517)"`</span></p>

<span style="mso-bidi-font-family: Arial;">В случае если определенный лог не отправляется от источника проверьте на нем в журнале `Microsoft/windows/event_forwardingPlugin/Operational` события с кодом 5004 (<span class="ui-provider ed azy azz baa bab bac bae baf bag bah bai baj bak bal bam ban bao bap baq bar bas bat bau bav baw bax bay baz bba bbb bbc bbd bbe bbf bbg" dir="ltr">ошибка отправки логов в wec сервер</span>), если там есть такие события, то выполните рекомендации по этой статье: [https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/system-management-components/security-event-log-forwarding-fails-error-0x138c-5004](https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/system-management-components/security-event-log-forwarding-fails-error-0x138c-5004) </span>

---

### Настройка коллектора и агента KUMA

#### Создание коллектора KUMA

<span style="mso-bidi-font-family: Arial;">Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Коллекторы** и нажмите на кнопку **Добавить коллектор.** Также можно на вкладке **Ресурсы** нажать на кнопку **Подключить источник событий**.</span>

<span style="mso-bidi-font-family: Arial;">После выполнения вышеуказанных действий откроется мастер настройки. На первом шаге выберите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/KuYimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/KuYimage.png)

<span style="mso-bidi-font-family: Arial;">На втором шаге мастера укажите транспорт. В данном случае рекомендуется использовать http. В поле URL задайте </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span style="mso-bidi-font-family: Arial;">/порт (выбирается любой из незанятых), на котором коллектор будет ожидать соединение от агента. В качестве разделителя укажите \\0.</span>

<p class="callout info"><span style="mso-bidi-font-family: Arial;">\*можно указать только порт при инсталляции All-in-one.</span></p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ts2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ts2image.png)

<span style="mso-bidi-font-family: Arial;">На вкладке **Дополнительные параметры** для шифрованной передачи данных между агентом и коллектором выберите **Режим TLS - С верификацией**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/jwiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/jwiimage.png)

<span style="mso-bidi-font-family: Arial;">На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows актуальный для версии 3.2 - **\[OOTB\] Microsoft Products for KUMA 3.**</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/U4Mimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/U4Mimage.png)

<span style="mso-bidi-font-family: Arial;">Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее.</span>

<span style="mso-bidi-font-family: Arial;">На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/lqpimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/lqpimage.png)

<span style="mso-bidi-font-family: Arial;">На завершающем шаге мастера нажмите на кнопку **Создать и сохранить сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/boQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/boQimage.png)

<span style="mso-bidi-font-family: Arial;">Также после выполнения вышеуказанных действий на вкладке **Ресурсы** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Активные сервисы** появится созданный сервис коллектора.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/itPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/itPimage.png)

#### Установка коллектора KUMA

<span style="mso-bidi-font-family: Arial;">Выполните подключение к </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">CLI</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> (установка коллектора выполняется с правами </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">root</span><span style="mso-bidi-font-family: Arial;">).</span>

<span style="mso-bidi-font-family: Arial;">Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gH5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gH5image.png)

<span style="mso-bidi-font-family: Arial;">При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.</span>

```shell
firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent
firewall-cmd --reload
```

<span style="mso-bidi-font-family: Arial;">После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DETimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DETimage.png)

#### Создание агента KUMA

<span style="mso-bidi-font-family: Arial;">Для создания агента в веб-интерфейсе </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> перейдите на вкладку **Ресурсы** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Агенты** и нажмите на кнопку **Добавить агент**.</span>

<span style="mso-bidi-font-family: Arial;">В открывшейся вкладке **Общие параметры** укажите **Имя агента** и **Тенант**, к которому он будет принадлежать.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/nTkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/nTkimage.png)

<span style="mso-bidi-font-family: Arial;">На вкладке **Подключение 1** в параметрах коннектора задайте имя коннектора, тип wec и выберите из выпадающего списка журналы Windows типа </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">ForwardedEvents</span><span style="mso-bidi-font-family: Arial;">. Также можно в ручном режиме задать дополнительные журналы Windows.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ygSimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ygSimage.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">В секции **Точки назначения** укажите имя точки назначения, тип **<span style="font-family: 'Arial',sans-serif; border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm;">http </span>**(должен совпадать с настройками коллектора). </span><span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">Задайте URL в формате **<span style="font-family: 'Arial',sans-serif; border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm;">fqdn:port</span>** (FQDN коллектора и порт, должны совпадать с настройками коллектора).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DnHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DnHimage.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">В дополнительных параметрах укажите **Режим TLS С верификацией**, если требуется шифровать соединение между коллектором и агентом (настройка должна совпадать с соответствующей на стороне коллектора). Укажите разделитель **<span style="font-family: 'Arial',sans-serif; border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm;">\\0</span>** (должен совпадать с настройками коллектора). Также на изображении ниже приведены дополнительные параметры и их рекомендуемые значения.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eSkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eSkimage.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">После настройки дополнительных параметров сохраните созданный ресурс агента.</span>

#### <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Публикация агента KUMA</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В разделе **Ресурсы** -&gt; **Активные сервисы** опубликуйте созданную конфигурацию KUMA Windows Agent. Для этого нажмите **Создать сервис** -&gt; выберите созданный сервис агента Windows WEC Agent и нажмите **Создать сервис.**</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/8kHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/8kHimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">После публикации сервиса скопируйте id данного сервиса для последующей установки на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/7Srimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/7Srimage.png)

### Установка агента KUMA

#### Создание сервисной учетной записи

<span style="mso-bidi-font-family: Arial;">Для функционирования агента </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> необходимо создать доменную сервисную учетную запись, с помощью которой будет выполняться запуск агента </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> и обеспечиваться доступ к журналам событий, полученных от источников (рабочих станций/серверов).</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/1PTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/1PTimage.png)

#### Добавление сервисной учетной записи в группу "Читатели журнала событий"

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере добавьте созданную сервисную учетную запись в локальную группу **Читатели журнала событий**. Для этого нажмите кнопку </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">, введите </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">lusrmgr</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.msc</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> и<span style="color: black;"> </span>запустите **Локальные пользователи и группы** от имени администратора. В появившемся окне выберите перейдите в **Группы** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> выберите группу **Читатели журнала событий** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">правой кнопкой мыши **Свойства** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt; </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Добавить</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> -&gt; в поле **Введите имена выбираемых объектов** укажите **&lt;имя сервисной учетной записи&gt;** -&gt; **Проверить имена** -&gt; как только УЗ будет найдена нажмите **ОК**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/PSkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/PSkimage.png)

#### Назначение прав входа в качестве службы

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере разрешите сервисной учетной записи вход в качестве службы. Для этого нажмите кнопку </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Win</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">, введите **secpol.msc** и<span style="color: black;"> </span>запустите **Локальная политика безопасности** от имени администратора. В появившемся окне выберите перейдите в **Локальные политики** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> **Назначение прав пользователя**</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;"> -&gt; </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выберите политику **Вход в качестве службы** -&gt; правой кнопкой мыши **Свойства** -&gt; **Добавить пользователя или группу** -&gt; в поле **Введите имена выбираемых объектов** укажите &lt;имя сервисной учетной записи&gt; -&gt; **Проверить имена** -&gt; как только УЗ будет найдена нажмите **ОК**.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/QhAimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Дополнительно убедитесь, что соответствующая сервисная учетная запись отсутствует в свойствах политики **Отказать во входе в качестве службы.**</span>

#### Установка агента KUMA

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выполняется на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере, который обеспечивает прием событий от источников (рабочих станций/серверов). Предварительно </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Core</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">должен быть добавлен в файл </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">hosts</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере, либо добавлен на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">DNS</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере рекомендуется создать папку </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">C</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">:\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Users</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">\\&lt;имя пользователя&gt;\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Desktop</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Далее скопируйте в данную папку исполняемый файл </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">kuma</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">exe</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>**

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Файл </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">kuma</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">exe</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">находится в архиве пакетов установки </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/iyiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/iyiimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для установки агента </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> запустите командную строку с правами администратора.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Примите лицензионное соглашение: `C:\Users\<имя пользователя>\Desktop\KUMA\kuma.exe license`</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Перейдите в папку **C:\\Users\\&lt;имя пользователя&gt;\\Desktop\\KUMA** </span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Запустите установку агента командой:</span>

```shell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://<DOMAIN-NAME-KUMA-CORE-Server>:7210 --id <Windows Agent ID> –-user <Имя сервисной доменной УЗ> --install
```

<p class="callout info">Если агент устанавливается из-под доменной учетной записи пользователь указывается в формате &lt;домен&gt;\\&lt;имя учетной записи&gt;, например, demo\\user</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/2Grimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/2Grimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Во время установки сервиса система запросит пароль. Введите пароль сервисной доменной учетной записи.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В результате, на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">WEC</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере будет установлен сервис </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Agent</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> &lt;</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Agent</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">ID</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">&gt;.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/HzAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/HzAimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/guzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/guzimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Если статус агента <span style="mso-spacerun: yes;"> </span>в веб-интерфейсе KUMA красный, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector.<span style="mso-spacerun: yes;"> </span></span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для удаления сервиса агента </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> по окончанию тестирования продукта выполните следующую команду:</span>

```shell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id <Windows Agent ID> --uninstall
```

#### Проверка поступления событий Windows в KUMA

<span style="mso-bidi-font-family: Arial;">Для проверки, что сбор событий с устройств </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;"> успешно настроен перейдите в **Ресурсы** -&gt; **Активные сервисы** -&gt; выберите ранее созданный коллектор для </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;"> и нажмите **Перейти к событиям.**</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/0EGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/0EGimage.png)

<span style="mso-bidi-font-family: Arial;">В открывшемся окне **События** убедитесь, что присутствуют события с </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;">-устройств.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4LHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4LHimage.png)

# Настройка подписки WEC с использованием XML фильтра

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

При настройке подписки <span lang="EN-US" style="mso-ansi-language: EN-US;">WEC</span> через графический интерфейс не получится выбрать нужные для сбора журналы, если на сервере с <span lang="EN-US" style="mso-ansi-language: EN-US;">WEC</span> не установлены соответствующие роли <span lang="EN-US" style="mso-ansi-language: EN-US;">Windows</span> <span lang="EN-US" style="mso-ansi-language: EN-US;">Server</span> или ПО.

[![dc+wec.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/dcwec.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/dcwec.png)

Чтобы выбрать журналы, которые фактически присутствуют на удаленном сервере, но не доступны для выбора на <span lang="EN-US" style="mso-ansi-language: EN-US;">WEC</span>, можно воспользоваться <span lang="EN-US" style="mso-ansi-language: EN-US;">XML</span> фильтром.

Ниже приведен пример XML фильтра для сбора событий из стандартного журнала <span lang="EN-US" style="mso-ansi-language: EN-US;">Security</span>, а также из журнала, который присущ только контроллеру домена - <span lang="EN-US" style="mso-ansi-language: EN-US;">Directory</span> <span lang="EN-US" style="mso-ansi-language: EN-US;">Service</span>.

```xml
<QueryList>
  <Query Id="0" Path="Security">
    <Select Path="Security">*</Select>
    <Select Path="Windows-Windows-PowerShell/Operational">*</Select>
    <Select Path="Directory Service">*</Select>
  </Query>
</QueryList>
```

[![wec_xml_filter.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/wec-xml-filter.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/wec-xml-filter.png)

В результате данной настройки WEC начнет собирать события из журнала контроллера домена <span lang="EN-US" style="mso-ansi-language: EN-US;">Directory</span> <span lang="EN-US" style="mso-ansi-language: EN-US;">Service.</span>

<span lang="EN-US" style="mso-ansi-language: EN-US;">Аналогичном образом можно настроить сбор событий из других специфических журналов, а также использовать XML фильтры, если требуется выполнить настройку большого количества подписок WEC. </span>

# MS ETW (DNS Analytics)

<p class="callout info">Поддерживается в KUMA с версии 3.2</p>

<p class="callout info">Расширенное ведение журнала DNS и диагностика доступны по умолчанию с версии Windows Server 2016. Эта функция также доступна в Windows Server 2012 R2 при установке исправления для ведения журнала запросов и аудита изменений, доступного по адресу [https://support.microsoft.com/kb/2956577](https://support.microsoft.com/kb/2956577) </p>

Event Tracing for Windows (ETW) - это механизм логирования различных событий, создаваемых приложениями и драйверами. Фактически является более расширенной версией стандартного журнала событий. Исторически ETW использовался для задач дебага при разработке, сейчас его можно использовать в том числе и для поиска вредоносной активности.

Включение опции логирования ETW оказывает незначительное влияние на производительность (рекомендуется в нагруженных системах). Например, DNS-сервер, работающий на современном оборудовании и получающий 100 000 запросов в секунду (QPS), может испытывать снижение производительности на 5 % при включении аналитических журналов. Очевидного влияния на производительность при скорости запроса 50 000 QPS и ниже не наблюдается. Однако всегда желательно отслеживать производительность DNS-сервера всякий раз, когда включено дополнительное ведение журнала.

### Теория

ETW состоит из трёх отдельных компонентов:

- Провайдеры (Providers), в некоторых случаях зовутся поставщиками
- Потребители (Consumers)
- Контроллеры (Controllers)

Провайдеры генерируют события, потребители их используют, а контроллеры управляют всей этой деятельностью. Провайдеры - это приложения, которые содержат функционал отправки событий в ETW. Примеры провайдеров: ядро Windows, драйвера устройств, user-mode приложения и другое ПО. Какие необходимо отправлять события решает разработчик в своём коде, упрощенно говоря, если выполняется важная с точки зрения разработчика функция (открывается доступ к SAM), то создается запись в ETW.

Для отправки провайдеры регистрируются в контроллере, контроллер в свою очередь может включить или отключить источник событий. Отключенный источник события не генерирует. Пример контроллеров - это logman или wevtutil. Для связи между провайдером и потребителем контроллер использует так называемые сессии трассировки. Сессия служит в том числе для фильтрации необходимых данных по различными параметрам, потому что потребителю может быть нужна только одна часть информации, а другому потребителю - другая.

Полезные ссылки:

- [https://habr.com/ru/articles/502362/](https://habr.com/ru/articles/502362/)
- [https://learn.microsoft.com/ru-ru/archive/blogs/teamdhcp/network-forensics-with-windows-dns-analytical-logging](https://learn.microsoft.com/ru-ru/archive/blogs/teamdhcp/network-forensics-with-windows-dns-analytical-logging)

### Настройка на стороне Windows

Переходим в **EventViewer** (Выполнить -&gt; eventvwr.msc). Далее переходим в **Журналы приложений и служб\\Microsoft\\Windows\\DNS-Server** (на англ. Applications and Services Logs\\Microsoft\\Windows\\DNS-Server)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/xjhimage.png)

Далее переходим в свойства Аналитического журнала:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/G1Wimage.png)

Оставляем максимальный размер журнала по умолчнию в 1 Гб:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/weUimage.png)

Нажимаем на **чекбокс Включить** ведение журнала, затем **ОК**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/baEimage.png)

Должно получиться следующее:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/aHYimage.png)

Нажимаем **Применить** и **ОК**.

При появлении следующего окна, не пугаемся, при **включенной ротации аналитического журнала события не отображаются в интерфейсе**, чтобы их увидеть (нам это не понадобится) нужно остановить журнал.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/oOLimage.png)

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/sOqimage.png)

Далее необходимо перейти в **Управление компьютером** и открыть его от Админиcтратора. Переходим **Служебные программы - Производительность - Сеансы отслеживания событий запуска.**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/Rt4image.png)

Создаем группу сборщиков данных:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/RdTimage.png)

Задаем имя сборщика, например etwDNS-Analytics:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/unXimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/unXimage.png)

Добавляем поставщика **Microsoft-Windows-DNSServer**:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/ttWimage.png)

<p class="callout warning">Агент с коннектором ETW работает только с System.Provider.Guid: {EB79061A-A566-4698-9119-3ED2807060E7} - Microsoft-Windows-DNSServer</p>

Нажимаем **Далее - Далее - Готово**.

Запускаем созданного поставщика, как сеанс отслеживания событий:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/jWximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/jWximage.png)

Далее в сеансах отслеживания событий, в свойствах - **Сеансы отслеживания** указываем **Режим реального времени**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/At5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/At5image.png)

Нажимаем **Применить** и **ОК**.

Чтобы просмотреть, какие типы событий можно отслеживать, выполните следующую команду в командной строке powershell:

```powershell
logman query providers "Microsoft-Windows-DNSServer"
```

Пример вывода:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/YfUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/YfUimage.png)

### Настройка коллектора и агента KUMA

#### Создание коллектора KUMA

<span style="mso-bidi-font-family: Arial;">Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Коллекторы** и нажмите на кнопку **Добавить коллектор.**</span>

<span style="mso-bidi-font-family: Arial;">После выполнения вышеуказанных действий откроется мастер настройки. На первом шаге выберите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/SRcimage.png)

<span style="mso-bidi-font-family: Arial;">На втором шаге мастера укажите транспорт. В нашем случае используется TCP (можно также использовать http и режимы с верификацией для защищенной отправки). В поле URL задайте </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span style="mso-bidi-font-family: Arial;">/порт (выбирается любой из незанятых), на котором коллектор будет ожидать соединение от агента. В качестве разделителя укажите \\n.</span>

<p class="callout info"><span style="mso-bidi-font-family: Arial;">\*можно указать только порт при инсталляции All-in-one.</span></p>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/XjVimage.png)

<span style="mso-bidi-font-family: Arial;">На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows **\[OOTB\] Microsoft DNS ETW logs json.**</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/rknimage.png)

<span style="mso-bidi-font-family: Arial;">Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее.</span>

<span style="mso-bidi-font-family: Arial;">На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/TkNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/TkNimage.png)

<span style="mso-bidi-font-family: Arial;">На завершающем шаге мастера нажмите на кнопку **Создать и сохранить сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/2FEimage.png)

<span style="mso-bidi-font-family: Arial;">Также после выполнения вышеуказанных действий на вкладке **Ресурсы** </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Активные сервисы** появится созданный сервис коллектора.</span>

#### Установка коллектора KUMA

<span style="mso-bidi-font-family: Arial;">Выполните подключение к </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">CLI</span><span lang="EN-US" style="mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> (установка коллектора выполняется с правами </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">root</span><span style="mso-bidi-font-family: Arial;">).</span>

<span style="mso-bidi-font-family: Arial;">Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gH5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gH5image.png)

<span style="mso-bidi-font-family: Arial;">При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.</span>

```shell
firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent
firewall-cmd --reload
```

<span style="mso-bidi-font-family: Arial;">После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**.</span>

#### Создание агента KUMA

<span style="mso-bidi-font-family: Arial;">Для создания агента в веб-интерфейсе </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> перейдите на вкладку **Ресурсы** </span>**<span style="mso-bidi-font-family: Arial; mso-fareast-language: RU; mso-no-proof: yes;">-&gt;</span>**<span style="mso-bidi-font-family: Arial;"> **Агенты** и нажмите на кнопку **Добавить агент**.</span>

<span style="mso-bidi-font-family: Arial;">В открывшейся вкладке **Общие параметры** укажите **Имя агента** и **Тенант**, к которому он будет принадлежать.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/Lcaimage.png)

<span style="mso-bidi-font-family: Arial;">На вкладке **Подключение 1** в параметрах коннектора задайте имя коннектора, тип etw и укажите имя сессии (это имя сборщика созданного на этапе настройки на стороне Windows) в нашем случае это etwDNS-Analytics</span><span style="mso-bidi-font-family: Arial;">.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/tcGimage.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">В секции **Точки назначения** укажите имя точки назначения, тип **tcp<span style="font-family: 'Arial',sans-serif; border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm;"> </span>**(должен совпадать с настройками коллектора). </span><span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">Задайте URL в формате **<span style="font-family: 'Arial',sans-serif; border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm;">fqdn:port</span>** (FQDN коллектора и порт, должны совпадать с настройками коллектора).</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/HX3image.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">В дополнительных параметрах укажите размер дискового буфера в 1 Гб.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/W9Rimage.png)

<span style="mso-bidi-font-size: 10.5pt; line-height: 107%; mso-bidi-font-family: Arial; color: #444444; background: white;">После настройки дополнительных параметров сохраните созданный ресурс агента.</span>

#### <span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Публикация агента KUMA</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В разделе **Ресурсы** -&gt; **Активные сервисы** опубликуйте созданную конфигурацию Agent ETW. Для этого нажмите **Создать сервис** -&gt; выберите созданный сервис агента Agent ETW и нажмите **Создать сервис.** </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">После публикации сервиса скопируйте его идентификатор нажатием на ПКМ данного сервиса для последующей установки агента на Windows </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">сервере.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/BL4image.png)

### Установка агента KUMA

#### Создание учетной записи

<span style="mso-bidi-font-family: Arial;">Для функционирования агента </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> необходимо создать либо доменную сервисную учетную запись, либо локальную УЗ с помощью которой будет выполняться запуск агента </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-family: Arial;"> и обеспечиваться доступ к чтению аналитического журнала. </span>

<span style="mso-bidi-font-family: Arial;">Для УЗ требуются следующие группы и права: </span>

- **Пользователи журналов производительности (Performance Log Users group)** (чтение журнала, настройка в свойствах пользователя);
- **Вход в качестве службы (Log on service)** (права на запуск сервиса агента, настройка в политиках безопасности).

<p class="callout info">После запуска сервиса агента можно переключиться на системную локальную учетку (LocalSystem), сделать это можно через Services на Windows. Иногда такое целесообразно при ротации паролей в УЗ.</p>

#### Установка агента KUMA

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Выполняется на Windows </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">сервере, который обеспечивает прием событий от источников (рабочих станций/серверов). Предварительно </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">FQDN</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Core</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">должен быть добавлен в файл </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">hosts</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> на Windows </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">сервере, либо добавлен на </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">DNS</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">-сервере. </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">На </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">сервере рекомендуется создать папку </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">C</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">:\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Users</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">\\&lt;имя пользователя&gt;\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Desktop</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">\\</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Далее скопируйте в данную папку исполняемый файл </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">kuma</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">exe</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>**

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Файл </span>**<span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">kuma</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">exe</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span>**<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">находится в архиве пакетов установки </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/iyiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/iyiimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для установки агента </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> запустите командную строку с правами администратора.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Перейдите в папку **C:\\Users\\&lt;имя пользователя&gt;\\Desktop\\KUMA,** примите лицензионное соглашение: `/opt/kaspersky/kuma/kuma.exe license`</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Запустите установку агента командой:</span>

```shell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://<DOMAIN-NAME-KUMA-CORE-Server>:7210 --id <Windows Agent ID> –-user <Имя сервисной доменной УЗ> --install
```

<p class="callout info">Если агент устанавливается из-под доменной учетной записи пользователь указывается в формате &lt;домен&gt;\\&lt;имя учетной записи&gt;, например, demo\\user</p>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/2Grimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Во время установки сервиса система запросит пароль. Введите пароль сервисной доменной учетной записи.</span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">В результате, на Windows </span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">сервере будет установлен сервис </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Agent</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> &lt;</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Agent</span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">ID</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">&gt;.</span>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/HzAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/HzAimage.png)

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Если статус агента <span style="mso-spacerun: yes;"> </span>в веб-интерфейсе KUMA красный, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector.<span style="mso-spacerun: yes;"> </span></span>

<span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;">Для удаления сервиса агента </span><span lang="EN-US" style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">KUMA</span><span style="mso-bidi-font-size: 10.0pt; line-height: 107%; mso-bidi-font-family: Arial;"> по окончанию тестирования продукта выполните следующую команду:</span>

```shell
C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id <Windows Agent ID> --uninstall
```

#### Проверка поступления событий Windows в KUMA

<span style="mso-bidi-font-family: Arial;">Для проверки, что сбор событий с устройств </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;"> успешно настроен перейдите в **Ресурсы** -&gt; **Активные сервисы** -&gt; выберите (чекбокс) ранее созданный коллектор для </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;"> и нажмите **Перейти к событиям.** Либо **ПКМ - Перейти к событиям.** </span><span style="mso-bidi-font-family: Arial;">В открывшемся окне **События** убедитесь, что присутствуют события с </span><span lang="EN-US" style="mso-bidi-font-family: Arial; mso-ansi-language: EN-US;">Windows</span><span style="mso-bidi-font-family: Arial;">-устройств.</span>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/yVLimage.png)

# MS Exchange

По Exchange KUMA анализирует Message Tracking Log (MTL) в формате CSV.

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80-%D0%BB%D0%BE%D0%B3%D0%B0%3A-%23softwa"><summary>Пример лога:</summary>

\#Software: Microsoft Exchange Server  
\#Version: 15.01.1034.026  
\#Log-type: Message Tracking Log  
\#Date: 2017-09-15T20:01:45.863Z  
\#Fields: date-time,client-ip,client-hostname,server-ip,server-hostname,source-context,connector-id,source,event-id,internal-message-id,message-id,network-message-id,recipient-address,recipient-status,total-bytes,recipient-count,related-recipient-address,reference,message-subject,sender-address,return-path,message-info,directionality,tenant-id,original-client-ip,original-server-ip,custom-data,transport-traffic-type,log-id,schema-version  
2017-09-15T20:01:45.863Z,,,,WINEXC,No suitable shadow servers,,SMTP,HAREDIRECTFAIL,34359738369,&lt;49b4b9a2781a45cba555008075f7bffa@test.com&gt;,8e1061b7-a376-497c-3172-08d4fc7497bf,test1@test.com,,6533,1,,,test,Administrator@test.com,Administrator@test.com,,Originating,,,,S:DeliveryPriority=Normal;S:AccountForest=test.com,Email,63dc9d79-5b4e-4f6c-1358-08d4fc7497c3,15.01.1034.026

</details>Для настройки можно обратиться к этой статье:[ https://learn.microsoft.com/ru-ru/exchange/mail-flow/transport-logs/transport-logs?view=exchserver-2019](https://learn.microsoft.com/ru-ru/exchange/mail-flow/transport-logs/transport-logs?view=exchserver-2019)

Далее нужную директорию расшарить и подключить ее к KUMA по аналогии с этой статьей: [https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma](https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma)

# MS Windows XP & 2003 SNMP

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/239864.htm](https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/239864.htm "Настройка получения событий Kaspersky Security Center в формате CEF")</p>

### Настройка на стороне Windows.

#### Настройка сервиса SNMP

В статье рассматривается настройка на ОС Windows XP. Перейдите в **Панель управления - Установка и удаление программ - Установка компонентов Windows.** Установите Средства управления и наблюдения и провайдер WMI SNMP (если есть).

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/mVuimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/mVuimage.png)

Дождитесь завершения установки и перезагрузите компьютер.

Убедитесь, что службы SNMP запущена (**Панель управления - Администрирование - Службы**): Служба SNMP (SNMP Service) и Служба ловушек SNMP (SNMP Trap). Если какие-то из перечисленных ниже служб не запущены - Запустите

#### Настройка сервиса SNMP  


Перейдите в **Панель управления - Администрирование - Службы - Служба SNMP (Свойства) - Вкладка Ловушки**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/1WUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/1WUimage.png)

Добавьте имя сообщества: **public**  
Адрес назначения ловушек: **&lt;IP\_адрес\_коллектора&gt;**

На вкладке Безопасность:

- Установите флажок: Посылать ловушку проверки подлинности (Send authentication trap)
- В таблице Приемлемые имена сообществ (Accepted community names) добавьте сообщество: public, с правами READ WRITE
- Установите флажок: Принимать пакеты SNMP от любого узла (Accept SNMP packets from any hosts)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/QpGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/QpGimage.png)

Затем Применить и ОК.

### Настройки на стороне KUMA

Создайте коллектор со следующим транспортом:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/avNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/avNimage.png)

В дополнительных параметрах в случае Русской локали в ОС кажите явно кодировку:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/AXgimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/AXgimage.png)

<p class="callout info">В качестве парсера рекомендуем использовать комьюнити нормализатор (предварительно импортируйте его в KUMA, пароль импорта: `q123123Q!`): [**ссылка**](https://box.kaspersky.com/f/276688a467c0420b84d6/)</p>

Задайте маршрут куда отправлять обработанные события коллектором:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/F2Jimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/F2Jimage.png)

Нажмите сохранить и создать сервис, скопируйте строку установки и выполните ее в консоли SSH.

<p class="callout warning">SNMP использует порт **161 UDP** для общих сообщений, для ловушек используется порт **162 UDP**. Для прослушки порта SNMP обновите параметры службы в Linux (предварительно скопируйте ID коллектора), инструкция как настроить прослушку ниже 1024 порта в Linux: [**ссылка**](https://kb.kuma-community.ru/link/55#bkmrk-%D0%A1%D0%BB%D1%83%D1%88%D0%B0%D1%82%D1%8C-%D0%BD%D0%B0-514-%D0%BF%D0%BE%D1%80%D1%82%D1%83)  
</p>

### Настройка аудита на стороне Windows

Нажмите **Пуск - Выполнить** - Введите: **evntwin**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/Cnjimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/Cnjimage.png)

- В переключателе Тип конфигурации (Configuration type) выберите особая (Custom), а затем нажмите на кнопку Правка (Edit)
- В блоке параметров Источники событий (Event sources) найдите и добавьте с помощью кнопки Добавить (Add) события, которые вы хотите отправить в коллектор KUMA с установленным коннектором SNMP Trap (рекомендуется отправлять все из папки Security)
- Нажмите на кнопку Settings, в открывшемся окне установите флажок Не применять глушитель (Don't apply throttle) и нажмите OK
- Нажмите Применить (Apply) и ОК

### Генерация тестовых событий на Windows

Создайте и удалите тестового пользователя в системе для генерации событий в **Панель управления - Администрирование - Управление компьютером - Локальные пользователи - Папка пользователи**.

При корректных настройках в кума должно отобразиться событие:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/3kZimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/3kZimage.png)

# Аналог netcat с помощью PowerShell на Windows

Часто для проверки поступления события требуется специальные утилиты для отправки тестового сообщения с Windows машины на коллектор, в рамках этой статьи будет представлен скрипт на PowerShell , с помощью которого можно будет отправить тестовое сообщение по IP:PORT по протоколу TCP.

Код скрипта:

```powershell
Function Send-TCPMessage { 
    Param ( 
            [Parameter(Mandatory=$true, Position=0)]
            [ValidateNotNullOrEmpty()] 
            [string] 
            $EndPoint
        , 
            [Parameter(Mandatory=$true, Position=1)]
            [int]
            $Port
        , 
            [Parameter(Mandatory=$true, Position=2)]
            [string]
            $Message
    ) 
    Process {
        # Setup connection 
        $IP = [System.Net.Dns]::GetHostAddresses($EndPoint) 
        $Address = [System.Net.IPAddress]::Parse($IP) 
        $Socket = New-Object System.Net.Sockets.TCPClient($Address,$Port) 
    
        # Setup stream wrtier 
        $Stream = $Socket.GetStream() 
        $Writer = New-Object System.IO.StreamWriter($Stream)

        # Write message to stream
        $Message | % {
            $Writer.WriteLine($_)
            $Writer.Flush()
        }
    
        # Close connection and stream
        $Stream.Close()
        $Socket.Close()
    }
}
```

Для отправки тестового сообщения нужно выполнить слледующую команду:

```powershell
Send-TCPMessage -Port 5578 -Endpoint 10.68.85.125 -message "KUMA the best SIEM !"
```

Вот как это выглядит в работе:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/3piimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/3piimage.png)

На стороне KUMA:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/tWeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/tWeimage.png)

# Мониторинг ключей реестра Windows

Для мониторинга ключей реестра в KUMA можно использовать стандартные механизмы аудита Windows. Для этого необходимо настроить расширенный аудит на доступ к реестру и определить разделы, операции с ключами которых необходимо мониторить. Данные настройки могут быть выполнены локально на сервере, а также заданы с помощью групповой политики. В статье ниже будет рассказано о локальных настройках.

---

### Настройка политики аудита

Запустите cmd.exe из-под учетной записи Администратора и выполните следующую команду:

```
auditpol /set /subcategory:"Реестр" /success:enable /failure:enable
```

Другим вариантом является внесение изменений в локальную политику безопасности. Чтобы выполнить его, откройте редактор Локальной политики безопасности и перейдите в "Параметры безопасности" - "Конфигурация расширенной политики аудита" - "Политики аудита системы" - "Объект локальной групповой политики" - "Доступ к объектам".

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/7M9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/7M9image.png)

Откройте подкатегорию "Аудит реестра" и выставите необходимые значения

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/v6uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/v6uimage.png)

---

### Настройка аудита раздела реестра

Откройте оснастку "Редактор реестра" и перейдите к разделу, аудит которого необходимо настроить

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/MYLimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/MYLimage.png)

Нажмите ПКМ на нужном разделе и выберите пункт Разрешения

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/BISimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/BISimage.png)

В открывшемся окне нажмите на кнопку "Дополнительно"

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/ghyimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/ghyimage.png)

В новом окне перейдите на вкладку "Аудит" и добавьте необходимое правило аудита раздела. В данном примере настроен аудит полного доступа всех субъектов к текущему разделу и всем его подразделам.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/crDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/crDimage.png)

Примените выполненные настройки.

---

### Результат

В результате выполненных настроек в журнале безопасности (security) Windows будут появляться события в зависимости от настроенного аудита.

События, которые могут появляться:

\- 4663(S): An attempt was made to access an object.  
\- 4656(S, F): A handle to an object was requested.  
\- 4658(S): The handle to an object was closed.  
\- 4660(S): An object was deleted.  
\- 4657(S): A registry value was modified.  
\- 5039(-): A registry key was virtualized.  
\- 4670(S): Permissions on an object were changed.

Как это выглядит в KUMA (на примере события 4657):

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/se8image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/se8image.png)

<table border="1" class="align-center" id="bkmrk--10" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 50%;"></col><col style="width: 50%;"></col></colgroup><tbody><tr><td class="align-center">[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Xraimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Xraimage.png)

</td><td>[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/dHFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/dHFimage.png)

</td></tr></tbody></table>

# Unix



# Настройка AuditD на Unix системах

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Архитектура Auditd

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/w3Rimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/w3Rimage.png)

### Настройка AuditD

Для начала необходимо проврить установлена нужная служба auditd, посмотрим активные правила:

```
auditctl -l
```

В случае наличия подобной ошибки:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/owlimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/owlimage.png)

Необходимо установить следующие пакеты:

```
apt-get install auditd audispd-plugins
```

Либо (если RHEL подобные ОС):

```
yum install audit audispd-plugins
```

Рекомендуем использовать следующие правила для аудита:

```
wget -O audit.rules https://raw.githubusercontent.com/Neo23x0/auditd/master/audit.rules
```

Загрузить файл с правилами аудита с портала box.kaspersky.com - [**тут**](https://box.kaspersky.com/f/acfad80baeca482e9af9/).

<p class="callout info">Другие правила аудита можно найти в этой статье - [https://kb.kuma-community.ru/link/14#bkmrk-linux](https://kb.kuma-community.ru/link/14#bkmrk-linux) </p>

Рекомендуем добавить записи в конец файла `audit.rules`, для быстрого добавления используйте команду ниже (после выполните `systemctl restart auditd.service`):

```bash
cat << EOF >> /etc/audit/rules.d/audit.rules
# root authorized_keys
-w /root/.ssh/authorized_keys -p wa -k rootkey

# motd audit
-w /etc/update-motd.d/ -p wa -k motd

# udev audit
-w /etc/udev/rules.d/ -p wa -k udev

# xdg audit
-w /etc/xdg/autostart/ -p wa -k xdg
-w /usr/share/autostart/ -p wa -k xdg

# Package Manager (APT/YUM/DNF)
-w /etc/yum/pluginconf.d/ -p wa -k package_man
-w /etc/apt/apt.conf.d/ -p wa -k package_man
-w /etc/dnf/plugins/dnfcon.conf -p wa -k package_man

# exta systemd
-w /usr/lib/systemd/ -p wa -k systemd
-w /lib/systemd/ -p wa -k systemd
-w /usr/local/lib/systemd/ -p wa -k systemd
-w /usr/local/share/systemd/user -p wa -k systemd_user
-w /usr/share/systemd/user  -p wa -k systemd_user

# setcap audit
-w /usr/sbin/setcap -p x -k setcap

# rc audit 
-w /etc/rc.local -p wa -k rclocal  

## extra Shell/profile configurations
-w /etc/bash.bashrc -p wa -k shell_profiles
-w /etc/bash.bash_logout -p wa -k shell_profiles
-w /root/.profile -p wa -k shell_profiles
-w /root/.bashrc -p wa -k shell_profiles
-w /root/.bash_logout -p wa -k shell_profiles
-w /root/.bash_profile -p wa -k shell_profiles
-w /root/.bash_login -p wa -k shell_profiles

# extra search files
-w /usr/bin/find -p x -k T1083_File_And_DIrectory_Discovery

## Kernel Related Events
-w /usr/sbin/modprobe -p x -k T1547_Boot_or_Logon_Autostart_Execution
-w /usr/sbin/insmod -p x -k T1547_Boot_or_Logon_Autostart_Execution
-w /usr/sbin/lsmod -p x -k T1547_Boot_or_Logon_Autostart_Execution
-w /usr/sbin/rmmod -p x -k T1547_Boot_or_Logon_Autostart_Execution
-w /usr/sbin/modinfo -p x -k T1547_Boot_or_Logon_Autostart_Execution
-w /etc/modprobe.conf -p wa -k T1547.006_6
-w /etc/sysctl.conf -p wa -k sysctl

# extra file manipulation
-w /usr/bin/ftp -p x -k T1105_remote_file_copy
-w /usr/bin/sftp -p x -k T1105_remote_file_copy
-w /usr/bin/rsync -p x -k T1105_remote_file_copy
-w /usr/bin/cp -p x -k T1005_Data_from_Local_System
-w /usr/bin/dd -p x -k T1005_Data_from_Local_System
-a always,exit -F arch=b32 -S execve -S execveat -F exe=/usr/bin/shred -F -k T1070.004_1
-a always,exit -F arch=b64 -S execve -S execveat -F exe=/usr/bin/shred -F -k T1070.004_2

# split cmd audit
-w /usr/bin/split -p x -k split

EOF
```

Другие правила аудита и полезные материалы по AuditD можно найти - [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib).

Далее нужно переместить правила в директорию по умолчанию и применить правила перезапуском сервиса:

```
cp audit.rules /etc/audit/rules.d/
systemctl restart auditd.service
systemctl enable auditd.service
```

<details id="bkmrk-%D0%92-%D1%81%D0%BB%D1%83%D1%87%D0%B0%D0%B5-%D0%BE%D1%88%D0%B8%D0%B1%D0%BA%D0%B8-%D1%80%D0%B5%D1%81%D1%82"><summary>В случае ошибки рестарта службы auditd (Failed to restart auditd.service)</summary>

На RHEL подобных ОС, может встретиться следующая ошибка:

*Failed to restart auditd.service: Operation refused, unit auditd.service may be requested by dependency only (it is configured to refuse manual start/stop).*  
*See system logs and 'systemctl status auditd.service' for details.*

```bash
nano /usr/lib/systemd/system/auditd.service
```

Измените параметр `RefuseManualStop `на:

```bash
RefuseManualStop=no
```

Затем обновите параметры службы:

```bash
systemctl daemon-reload
```

</details>Для проверки убедитесь что следующий лог наполняется информацией:

```
tail -f /var/log/audit/audit.log
```

<p class="callout info">Рекомендуемый парсер (без агрегации/склейки событий) для правил корреляции Community - **\[2024-09-23\] Unix AuditD (REGEX)** (из Community-Pack)</p>

<p class="callout info">Для использования агрегации логов используйте коробочный парсер **\[OOTB\] Linux auditd syslog for KUMA 3.2** c включенным переключателем "auditd", который доступен в KUMA 3.2, подробнее:[ https://support.kaspersky.com/help/KUMA/3.2/ru-RU/220739.htm](https://support.kaspersky.com/help/KUMA/3.2/ru-RU/220739.htm) </p>

### Известные проблемы

Бывают случаи, когда из-за ротации самого себя auditd (собственная ротация) падает в статусе сервиса:  
*Sep 24 00:11:42 example.org auditd\[756\]: Audit daemon rotating log files*

В таком статусе лог файл не пополняется, рекомендуется использовать системную ротацию logrotate.

Сначала отключается собственная ротация auditd, правим конфиг:

```bash
nano /etc/audit/auditd.conf
```

Правим занчение (выделено жирным): `max_log_file_action = <strong>ignore</strong>`

Затем настраивается системная ротация logrotate.

```bash
touch /etc/logrotate.d/auditd
chmod 644 /etc/logrotate.d/auditd; chown root:root /etc/logrotate.d/auditd
nano /etc/logrotate.d/auditd
```

Пишем в файле auditd:

```bash
# daily rotation keep last 2 days and compress old
/var/log/audit/audit.log {
    daily
    missingok
    notifempty
    sharedscripts
    rotate 2
    compress
    delaycompress
    postrotate
        /usr/bin/systemctl kill -s USR1 auditd.service >/dev/null 2>&1 || true
    endscript
}
```

Перезапускаем службы logrotate и auditd:

```bash
systemctl restart logrotate.service; systemctl restart auditd.service
```

### Классический сбор событий auditd с помощью Rsyslog

Проведите настроку по этой инструкции: [https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/sbor-sobytii-auditd-s-pomoshhiu-rsyslog](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/sbor-sobytii-auditd-s-pomoshhiu-rsyslog)

### Удаленная отправка логов auditd

<p class="callout info">Не поддерживается коробочным парсером **\[OOTB\] Linux auditd syslog for KUMA 3.2**</p>

Иногда **если место на сервере ограничено и хранить объемный лог audutd нет возможности**, для этого можно настроить отправку логов сразу на удаленный сервер, для этого будем использовать плагин audispd-plugins, который мы загружали выше.

Отключим локальное ведение логов аудита в файле `/etc/audit/auditd.conf` выставляем значение **write\_logs = no**:

```bash
root@kuma# nano /etc/audit/auditd.conf

local_events = yes
write_logs = no
name_format = HOSTNAME
```

<p class="callout warning">Не прописывайте name\_format = HOSTNAME если планируете использовать коробочный парсер **\[OOTB\] Linux auditd syslog for KUMA 3.2**</p>

Теперь нам нужно исправить файл по примеру ниже для отправки логов на удаленный сервер:

```bash
root@kuma# nano /etc/audit/plugins.d/au-remote.conf

active = yes
direction = out
path = /sbin/audisp-remote
type = always
#args =
format = string
```

Далее нужно отредактировать файл `/etc/audit/audisp-remote.conf` следующим образом:

```bash
root@kuma# nano /etc/audit/audisp-remote.conf

#
# This file controls the configuration of the audit remote
# logging subsystem, audisp-remote.
#

remote_server = 192.168.0.100
port = 16666
transport = tcp
queue_file = /var/spool/audit/remote.log
mode = immediate
queue_depth = 10240
format = ascii
network_retry_time = 2
max_tries_per_record = 3
max_time_per_record = 5
heartbeat_timeout = 0

network_failure_action = stop
disk_low_action = ignore
disk_full_action = warn_once
disk_error_action = warn_once
remote_ending_action = reconnect
generic_error_action = syslog
generic_warning_action = syslog
queue_error_action = stop
overflow_action = syslog
startup_failure_action = warn_once_continue

##krb5_principal =
##krb5_client_name = auditd
##krb5_key_file = /etc/audisp/audisp-remote.key
```

Теперь нужно перезапустить сервис auditd для применения обновленных конфигураций :

```
systemctl restart auditd.service
```

Сырые события будут без заголовка syslog, парсер Unix из комьюнити-пака обработает корректно такие логи:

```
node=kuma-aio.local type=PROCTITLE msg=audit(1704808440.087:50482): proctitle=2F7362696E2F617564697463746C002D52002F6574632F61756469742F61756469742E72756C6573
```

# Настройка Syslog-ng на Unix системах

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

Для начала необходимо проврить установлена нужная служба Syslog-ng, посмотрим статус службы:

```
systemctl status syslog-ng
```

В случае отсутствия службы необходимо установить следующие пакеты:

```
apt-get install syslog-ng
```

В случае если служба не запущена:

```
sudo systemctl start syslog-ng
sudo systemctl enable syslog-ng
```

### Настройка источника

Далее на источнике нужно создать файл с параметрами работы службы и изменить конфигурационный файл службы Syslog-ng.

Сначала создается файл с параметрами работы службы:  
Создайте файл `/etc/syslog-ng/1-unixLogging.conf`, например с помощью nano:

```
nano /etc/syslog-ng/1-unixLogging.conf
```

Добавьте в файл строки для отправки по UDP на порт 5140:

```bash
filter unix_filter {
    not facility(cron, lpr, mail, news, uucp);
};

destination to_kuma_udp {
    udp("<IP_KUMA_Collector>" port(5140));
};

log {
    source(s_src);
    filter(unix_filter);
    destination(to_kuma_udp);
};
```

Добавьте в файл строки для отправки по TCP на порт 5140:

```bash
filter unix_filter {
    not facility(cron, lpr, mail, news, uucp);
};

destination to_kuma_tcp {
    tcp("<IP_KUMA_Collector>" port(5140) log-fifo-size(1000));
};

log {
    source(s_src);
    filter(unix_filter);
    destination(to_kuma_tcp);
    flags(flow-control);
};
```

Чтобы настроить конфигурационный файл службы с использованием настроек сделанных выше, отредактируйте файл `/etc/syslog-ng/syslog-ng.conf`, добавив в файл строку:

```
@include "1-unixLogging.conf"
```

Перезапустите службу syslog-ng:

```
systemctl restart syslog-ng
```

### Проверка отправки сообщения

Для проверки получения и отправки сообщения можно воспользоваться командой с тестовым сообщением:

```
logger "testTest"
```

Это сообщение должно появиться в системном журнале, например `/var/log/messages`:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/Wn5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/Wn5image.png)

### Дополнительная информация

Обычно в конфиграции /etc/syslog-ng/syslog-ng.conf в s\_src содержится 2 типа журналов

```bash
source s_src {
       system(); # системный журнал
       internal(); # внутренние сообщения журнала syslog-ng
};
```

Для задания шаблона сообщения можно использовать следующее:

```bash
template LogglyFormat { template("<${PRI}>1 ${ISODATE} ${HOST} ${PROGRAM} ${PID} ${MSGID} [TOKEN@41058 tag=\"TAG\" ] $MSG\n");  
  template_escape(no);
};
```

```bash
destination d_loggly {
  tcp("logs-01.loggly.com" port(514) template(LogglyFormat));
};
```

# Сбор событий AuditD с помощью Rsyslog

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/KUMA/2.1/ru-RU/239760.htm</p>

### Создание коллектора KUMA

Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий.

На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя** коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7Ejimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/7Ejimage.png)

На втором шаге мастера необходимо выбрать тип подключения **udp** или **tcp** и указать **порт**, на котором коллектор будет ожидать входящие подключения. В данном примере выбран UDP/5144.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EoGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EoGimage.png)

На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] Linux Audit and iptables Syslog (либо парсер AuditD из PreSales Pack)**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/CQEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/CQEimage.png)

Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению.

На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IW1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IW1image.png)

На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/4Bkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/4Bkimage.png)

В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/O9dimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/O9dimage.png)

---

### Установка коллектора KUMA

Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA.

Для установки сервиса коллектора необходимо выполнить скопированную команду.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/dmzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/dmzimage.png)

Также необходимо добавить порт коллектора в исключения фаервола и обновить параметры службы

```bash
firewall-cmd --add-port=5144/udp --permanent
firewall-cmd --reload
```

В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/INUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/INUimage.png)

---

### Настройка сервера источника логов  


<p class="callout info">В случае наличия ошибок с доступом журналов, попробуйте отключить SELinux. Отключение SELinux вручную — SELINUX = Disabled в /etc/selinux/config и затем setenforce 0, команда getenforce для проверки.</p>

На сервере источнике логов проверьте наличие сервиса **RSyslog** в системе:

```
systemctl status rsyslog.service
```

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GCJimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GCJimage.png)

В случае отсутствия сервиса его необходимо установить и запустить:

```
yum install rsyslog
systemctl enable rsyslog.service
systemctl start rsyslog.service
```

Далее в папке `<strong>/etc/rsyslog.d</strong>` необходимо создать файл **`audit.conf`** следующего содержания:

```bash
vi /etc/rsyslog.d/audit.conf
```

```
$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputFileFacility local6
$InputRunFileMonitor

local6.* @<ip адрес коллектора KUMA>:<порт коллектора KUMA>
```

Для отправки событий по протоколу TCP последнюю строчку следует заменить на:

```
local6.* @@<ip адрес коллектора KUMA>:<порт коллектора KUMA>
```

После сохранения изменений в файле необходимо перезапустить сервис Rsyslog командой:

```
systemctl restart rsyslog.service
```

---

### Проверка поступления событий  


Для проверки поступления событий выберите соответствующий коллектор и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события **Auditd**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/NL7image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/NL7image.png)

---

### Отправка лога без заголовка syslog

Иногда необходимо отпралять события без заголовка, в этом случае используются шаблоны, ниже пример использования в конфиге:

```
$template onlyMSG,"%msg%\n"
$ModLoad imfile
$InputFileName /var/log/audit/audit.log
$InputFileTag tag_audit_log:
$InputFileStateFile audit_log
$InputFileSeverity info
$InputFileFacility local6
$InputRunFileMonitor

local6.* @<ip адрес коллектора KUMA>:<порт коллектора KUMA>;onlyMSG
```

# Network

Подключение сетевых источников событий: маршрутизаторы, коммутаторы, FW, NGFW и т.п.

# Usergate

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка Usergate

Для настройки отправки событий с Usergate в KUMA выполните следующие действия:

1\. В веб-интерфейсе Usergate перейдите на вкладку **Журналы и отчеты**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Nmkimage.png)

2\. Выберите **Экспорт журналов** и нажмите кнопку **Добавить**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/2Bfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/2Bfimage.png)

3\. На вкладке **Общие** поставьте галочку напротив параметра **Включено** и задайте имя правилу экспорта журналов.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eZeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eZeimage.png)

4\. На вкладке **Удаленный сервер** задайте следующие настройки:

- **Тип** сервера - **Syslog**
- **Адрес** - коллектора KUMA
- **Порт** - порт коллектора KUMA
- **Транспорт** - **UDP** или **TCP** (настройка должна совпадать с настройками коллектора KUMA).
- **Протокол** - **Syslog (RFC 5424)**.
- **Критичность** и **Объект** выберите в соответствии с потребностями в логировании.

<p class="callout warning">В поле **Имя хоста** по умолчанию указано имя хоста Usergate с символом **@**. Замените символ «**@**» на символ «**.**» для корректной нормализации событий Usergate на стороне KUMA.  
</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kivimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kivimage.png)

5\. На вкладке **Журналы для экспорта** поставьте галочки напротив **Журналов**, которые необходимо экспортировать в KUMA. Для каждого экспортируемого журнала выберите **Формат CEF**.  
   
6\. Сохраните внесенные изменения.

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Usergate.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Usergate.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Syslog-CEF.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Экспорт журналов (документация UserGate): [https://docs.usergate.com/eksport-zhurnalov\_178.html](https://docs.usergate.com/eksport-zhurnalov_178.html)

# ViPNet Coordinator

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка ViPNet Coordinator

Для отправки событий ViPNet Coordinator в KUMA выполните следующее:

1\. Подключитесь к консоли ViPNet Coordinator локально или через ssh.

2\. Перейдите режим в Администратора с помощью следующей команды:

```
enable
```

3\. Из командной строки в режиме Администратора выполните команду:

```
machine set loghost <ip-адрес коллектора KUMA>
```

После выполненных настроек ViPNet Coordinator будет отправлять системный журнал на адрес коллектора KUMA по протоколу UDP и 514-му порту.

<p class="callout info">В случае если коллектор KUMA является открытым узлом по отношению к ViPNet Coordinator, то также необходимо создать фильтр открытой сети, разрешающий исходящий трафик по протоколу UDP на 514-й порт коллектора KUMA.</p>

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий ViPNet Coordinator.

1\. На шаге **Транспорт** укажите тип UDP и порт 514.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] VipNet Coordinator syslog.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Дополнительная настройка коллектора

После установки коллектора, необходимо внести изменения в файл сервиса коллектора для того, чтобы коллектор мог слушать входящие соединения на порту 514.

Для этого выполните следующие действия:

1\. Остановите выполнение сервиса коллектора командой

```bash
systemctl stop kuma-collector-<id>
```

2\. Откройте на редактирование файл коллектора `/usr/lib/systemd/system/kuma-collector-<id>.service`

3\. В разделе **\[Service\]** добавьте следующую строку

```bash
AmbientCapabilities=CAP_NET_BIND_SERVICE
```

4\. Сохраните полученный файл

5\. Обновите параметры сервисов следующей командой

```bash
systemctl daemon-reload
```

6\. Запустите службу коллектора следующей командой

```bash
systemctl start kuma-collector-<id>
```

# Ideco UTM

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm)</p>

### Настройка Ideco UTM

Для передачи событий из Ideco UTM в KUMA выполните следующие действия:

1\. Подключитесь к веб-интерфейсу Ideco UTM под учётной записью, обладающей административными привилегиями.

2\. В меню **Пересылка системных сообщений** переведите переключатель **Syslog** в положение включено.

3\. В параметре **IP-адрес** укажите IP-адрес коллектора KUMA.

4\. В параметре **Порт** введите порт, который прослушивает коллектор KUMA.

5\. Нажмите **Сохранить** для применения внесённых изменений.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Zqaimage.png)

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Ideco UTM.

1\. На шаге **Транспорт** укажите тип **UDP** и порт в соответствии с настройками на стороне Ideco UTM.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Ideco UTM syslog.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий Ideco UTM (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm)

Расшифровка передаваемых логов: [https://docs.ideco.dev/settings/monitor/syslog](https://docs.ideco.dev/settings/monitor/syslog)

# Cisco IOS

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка Cisco IOS

Войдите на источник Cisco IOS коммутатор или маршрутизатор.

Введите следующую команду для входа в маршрутизатор в привилегированный режим: `enable`

Переключитесь в режим конфигурации (configure terminal):

```bash
conf t
```

<p class="callout warning">Перед включением ведения журнала убедитесь, что ваш маршрутизатор правильно настроен для получения времени от сервера NTP, или настройте его вручную, чтобы получать время. Используйте команду `set clock` или `ntp server x.x.x.x` для синхронизации часов.</p>

Включите журналирование:

```
logging on
```

Укажите IP-адрес коллектора и порт (можно использовать UDP или TCP транспорт):

```bash
logging host <IP-адрес коллектора> transport udp port <порт коллектора>
```

Укажите уровень важности событий (рекомендуется informational):

```bash
logging trap informational
```

Уровни критичности в CISCO:

<table border="1" cellpadding="0" cellspacing="0" class="MsoTableGrid" id="bkmrk-level-keyword-level-" style="width: 100.123%; border-collapse: collapse; border: none; height: 235px;" width="86%"><tbody><tr style="mso-yfti-irow: 0; mso-yfti-firstrow: yes;"><td style="border: 1pt solid windowtext; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">**Level Keyword**

</td><td style="border-top: 1pt solid windowtext; border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-image: initial; border-left: none; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">**Level**

</td><td style="width: 50.3023%; border-top: 1pt solid windowtext; border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-image: initial; border-left: none; padding: 0cm 5.4pt;" valign="top" width="50%">**Description**

</td><td style="width: 22.7441%; border-top: 1pt solid windowtext; border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-image: initial; border-left: none; padding: 0cm 5.4pt;" valign="top" width="22%">**Syslog Definition**

</td></tr><tr style="mso-yfti-irow: 1;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">emergencies

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">0

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Система нестабильна

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_EMERG

</td></tr><tr style="mso-yfti-irow: 2;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">alerts

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">1

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Требуются немедленные действия

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_ALERT

</td></tr><tr style="mso-yfti-irow: 3;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">critical

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">2

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Критические условия

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_CRIT

</td></tr><tr style="mso-yfti-irow: 4;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">errors

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">3

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Условия ошибки (по умолчанию)

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_ERR

</td></tr><tr style="mso-yfti-irow: 5;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">warnings

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">4

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Условия предупреждения

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_WARNING

</td></tr><tr style="mso-yfti-irow: 6;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">notifications

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">5

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Нормальное, но значимое состояние

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_NOTICE

</td></tr><tr style="mso-yfti-irow: 7;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">informational

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">6

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Только информационные сообщения

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_INFO

</td></tr><tr style="mso-yfti-irow: 8; mso-yfti-lastrow: yes;"><td style="border-right: 1pt solid windowtext; border-bottom: 1pt solid windowtext; border-left: 1pt solid windowtext; border-image: initial; border-top: none; padding: 0cm 5.4pt; width: 18.7886%;" valign="top">debugging

</td><td style="border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt; width: 8.16493%;" valign="top">7

</td><td style="width: 50.3023%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="50%">Отладка сообщений

</td><td style="width: 22.7441%; border-top: none; border-left: none; border-bottom: 1pt solid windowtext; border-right: 1pt solid windowtext; padding: 0cm 5.4pt;" valign="top" width="22%">LOG\_DEBUG

</td></tr></tbody></table>

Укажите интерфейса источника для отправки событий:

```
logging source-interface <Имя интерфейса>
```

*&lt;Имя интерфейса&gt; - это имя интерфейса, например, dmz, lan, ethernet0 или ethernet1.*

Настройте средство для системного журнала:

```
logging facility syslog
```

Настройте идентификатор событий:

```
logging origin-id ip
```

Настройте временные метки событий и идентификаторы событий в логировании:

```
service timestamps log datetime year show-timezone
service sequence numbers
```

<p class="callout info">Маршрутизатор по умолчанию не проверяет, авторизован ли пользователь в консольном порту или к нему подключено устройство; если ведение журнала консоли включено, на консольный порт всегда отправляются сообщения, которые могут вызвать нагрузку на процессор. Поэтому ниже включим логирование только необходимых событий. (вместо включения `logging console warning`)</p>

Включите регистрацию событий входа пользователей:

```bash
logging userinfo
login on-success log 
login on-failure log 
ip ssh logging events
```

Включите регистрацию событий выполнения конфигурационных команд:

```bash
archive
log config
logging enable
notify syslog contenttype plaintext
```

**Опционально**. Включите регистрацию событий VPN:

```bash
crypto logging ezvpn 
crypto logging session
crypto logging ikev2
```

Выйдите из режима конфигурирования:

```bash
end
```

Сохраните изменения даже после перезагрузки:

на старых Cisco:

```
write memory
```

на новых Cisco (копирование рабочей конфигурации):

```
copy running-config startup-config
```

Чтобы отобразить состояние системного журнала (syslog) и содержимое стандартного буфера сообщений системного журнала, используйте команду из привилегированного режима:

```bash
show logging
```

# FortiGate (CEF)

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка коллектора KUMA

#### Создание коллектора KUMA

Для приема и обработки событий с FortiGate необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите на вкладку **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:**

- На шаге **Подключение источников** укажите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/La5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/La5image.png)

- На шаге **Транспорт** укажите **Тип** и **Порт** (данные параметры должны соответствовать настройкам на стороне FortiGate: **set mode** и **set port** соответственно)

<p class="callout info">Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/hZ3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/hZ3image.png)

- На шаге **Парсинг событий** укажите нормализатор. Рекомендуется использовать предустановленный нормализатор **\[OOTB\] Syslog-CEF** ([https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/255782.htm)](https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/255782.htm)).

<p class="callout info">Если планируете использовать правила корреляции для FortiGate из Community-Pack необходимо использовать нормализатор **\[2024-04-22\] FortiGate Syslog-CEF**, также доступный в Community-Pack</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/9yoimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/9yoimage.png)

- Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее.
- На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/tLAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/tLAimage.png)

- На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/bAWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/bAWimage.png)

Также после выполнения вышеуказанных действий на вкладке **Ресурсы** **&gt;** **Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/y26image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/y26image.png)

#### Установка коллектора KUMA

Выполните подключение к <span lang="EN-US">CLI</span><span lang="EN-US"> </span><span lang="EN-US">KUMA</span> (установка коллектора выполняется с правами <span lang="EN-US">root</span>).

Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/GFnimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/GFnimage.png)

При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.

```shell
firewall-cmd --add-port=<порт, выбранный для коллектора>/udp –permanent
firewall-cmd --reload
```

После успешной установки сервиса его в статус в веб-интерфейсе KUMA изменится на **зеленый**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/1Nbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/1Nbimage.png)

---

### Настройка FortiGate

Для настройки отправки событий в формате CEF с FortiGate в KUMA выполните следующие действия:

- Подключитесь к CLI FortiGate по SSH
- Перейдите в секцию настройки параметров Syslog:

```shell
config log syslogd setting
```

- Выполните настройку параметров Syslog:

```shell
set status enable # включить отправку событий на удаленный Syslog-сервер
set server <IP-адреса сервера-коллектора KUMA>
set mode udp # отправлять события по UDP
set port <порт, заданный в параметрах коллектора KUMA> 
set source-ip <IP-адрес FortiGate> # IP-адрес, который будет использоваться в качестве Source IP при взаимодействии c коллектором KUMA [опционально]
set format cef # отправлять события в формате CEF
set interface-select-method <auto|sdwan|specify> # если выбран specify указать вручную исходящий интерфейс для взаимодействия с коллектором KUMA с помощью команды set interface <наименование интерфейса> [опционально]
end
```

---

### Проверка поступления событий FortiGate в KUMA

Для проверки, что сбор событий с FortiGate успешно настроен перейдите в **Ресурсы** &gt; **Активные сервисы** &gt; выберите ранее созданный коллектор для FortiGate и нажмите **Перейти к событиям.**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/yLPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/yLPimage.png)

В открывшемся окне **События** убедитесь, что присутствуют события с FortiGate.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/rThimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/rThimage.png)

---

### Полезные ссылки

Отправка событий в формате CEF - [https://community.fortinet.com/t5/FortiGate/Technical-Note-FortiGate-Logs-can-be-sent-to-syslog-servers-in/ta-p/190617](https://community.fortinet.com/t5/FortiGate/Technical-Note-FortiGate-Logs-can-be-sent-to-syslog-servers-in/ta-p/190617)

# Check Point NGFW (CEF)

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка коллектора KUMA

#### Создание коллектора KUMA

Для приема и обработки событий Check Point NGFW необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:**

- На шаге **Подключение источников** укажите **Название коллектора** и **Тенант**, которому будет принадлежать создаваемый коллектор

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/jfXimage.png)

- На шаге **Транспорт** укажите **Тип коннектора** и **URL** (порт, выделенный сервису)

<p class="callout info">Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**</p>

<p class="callout info">Указанные параметры должны соответствовать настройкам на стороне Check Point</p>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/8Qhimage.png)

- На шаге **Парсинг событий** нажмите **Добавить парсинг событий** и укажите нормализатор.  
    Рекомендуется создать и использовать в качестве нормализатора для событий Check Point дубликат предустановленного нормализатора **\[OOTB\] CEF.**[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/image.png)В параметрах нормализатора перейдите в окно **Основной парсинг событий** и выберите вкладку **Обогащение.** На вкладке **Обогащение** нажмите **Добавить обогащение** и настройте параметры обогащения согласно скриншоту ниже для корректной работы SOC и Community корреляционных правил.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/E2Zimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/E2Zimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/yytimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/yytimage.png)

- Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее.
- На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/oyZimage.png)

- На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/ag5image.png)

Также после выполнения вышеуказанных действий в разделе **Ресурсы** **&gt;** **Активные сервисы** появится созданный сервис коллектора.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/AyAimage.png)

#### Установка коллектора KUMA

Выполните подключение к <span lang="EN-US">CLI</span><span lang="EN-US"> сервера </span><span lang="EN-US">KUMA</span> (установка сервиса коллектора выполняется с правами <span lang="EN-US">root</span>).

Для установки сервиса коллектора выполните команду, скопированную на прошлом шаге.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/36Dimage.png)

При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.

```shell
firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent
firewall-cmd --reload
```

После успешной установки сервиса его статус в веб-интерфейсе KUMA изменится на **Вкл** с **зеленой индикацией**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/imGimage.png)

---

### Настройка Check Point NGFW

Отправка событий Check Point NGFW осуществляется средствами Log Exporter с Management Server/Log Server. Настройку конфигурации Log Exporter можно выполнить двумя способами:

- С помощью SmartConsole (начиная с версии R81)
- В CLI

#### SmartConsole

- Создайте новый объект Log Exporter/SIEM: 
    - Выберите **Objects** &gt; **More object types** &gt; **Server** &gt; **Log Exporter/SIEM**
    - В поле **Object Name** введите имя для создаваемого объекта **Log Exporter**
    - Перейдите во вкладку **General**: 
        - В секции **Export Configuration** активируйте флаг **Enabled**
        - В секции **Server Configuration**: 
            - В поле **Target Server** укажите IP-адрес или FQDN сервера коллектора KUMA (FQDN поддерживается, начиная с R81 SmartConsole Build 569)
            - В поле **Target Port** укажите порт, указанный на шаге **Транспорт** при создании сервиса коллектора
            - В поле **Protocol** выберите протокол (TCP или UDP), указанный на шаге **Транспорт** при создании сервиса коллектора
    - Перейдите во вкладку **Data Manipulation:**
        - В поле **Format** выберите **Common Event Format (CEF)**
        - **(Опционально)** активируйте флаг **Aggregate log updates before export** для экспорта событий, содержащих полные данные, а не только изменения, произошедшие с момента последнего лога для одного и того же события.
    - **(Опционально)** Перейдите во вкладку **Attachments:**
        - Активируйте флаги 
            - **Add link to Log Details in SmartView**
            - **Add link to Log Attachment in SmartView**
            - **Add Log Attachment ID**
    - Нажмите **ОК**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/wgXimage.png)![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/VOTimage.png)

- Выполните настройку параметров объекта **Management Server** или **Dedicated Log Server / SmartEvent Server:**
    - В навигационной панели слева выберите **Gateways &amp; Servers**
    - Откройте объект **Management Server or Dedicated Log Server / SmartEvent Server**
    - Слева выберите **Logs** &gt; **Export**
    - Нажмите **\[+\]** и выберите объект **Log Exporter /** **SIEM,** созданный ранее
    - Нажмите **OK**
- Нажмите **Menu** &gt; **Install database**
- Выберите все объекты
- Нажмите **Install**

#### CLI

- Подключитесь к **Management Server / Log Server**
- Перейдите в режим **Expert**
- Настройте параметры **Log Exporter**

```shell
cp_log_export add name <Наименование конфигурации Log Exporter> target-server <IP-адрес или FQDN сервера коллектора KUMA> target-port <Порт, указанный на шаге Транспорт при создании сервиса коллектора> protocol {tcp | udp} format cef
```

- Запустите новый инстанс **Log Exporter**

```shell
cp_log_export restart name <Наименование конфигурации>
```

---

### Проверка поступления событий Check Point NGFW в KUMA

Для проверки, что сбор событий с Check Point NGFW успешно настроен перейдите в **Ресурсы** &gt; **Активные сервисы** &gt; выберите ранее созданный коллектор Check Point NGFW &gt; ПКМ &gt; **Перейти к событиям.**

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/Hoiimage.png)

В открывшемся окне **События** убедитесь, что присутствуют события Check Point NGFW.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/IBXimage.png)

---

### Полезные ссылки

Настройка отправки событий Check Point с помощью Log Exporter - [https://support.checkpoint.com/results/sk/sk122323](https://support.checkpoint.com/results/sk/sk122323)

Описание полей событий Check Point - [https://support.checkpoint.com/results/sk/sk144192](https://support.checkpoint.com/results/sk/sk144192)

# FortiGate-FortiAnalyzer (CEF)

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

**FortiAnalyzer** — это аналитическая платформа для управления событиями, журналами и формирования отчетности, разработанная компанией Fortinet. В данной статье рассматривается настройка отправки событий FortiGate, которые централизованно собираются и хранятся в FortiAnalyzer.

### Настройка коллектора KUMA

#### Создание коллектора KUMA

Для приема и обработки событий FortiGate, отправляемых с FortiAnalyzer, необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:**

- На шаге **Подключение источников** укажите **Название коллектора** и **Тенант**, которому будет принадлежать создаваемый коллектор

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/zjximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/zjximage.png)

- На шаге **Транспорт** укажите **Тип коннектора** и **URL** (порт, выделенный сервису).

<p class="callout info">Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**</p>

<p class="callout info">Указанные параметры должны соответствовать настройкам на стороне FortiAnalyzer</p>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/kBFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/kBFimage.png)

- На шаге **Парсинг событий** нажмите **Добавить парсинг событий** и укажите нормализатор. Рекомендуется использовать community-нормализатор **FortiGate-FortiAnalyzer (CEF).** Как альтернативный вариант, можно использовать предустановленный нормализатор **\[OOTB\] CEF,** но данный нормализатор не обеспечивает парсинг специфичных полей FortiGate, например, virus, attack и других.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/4x1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/4x1image.png)

- Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее.
- На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/YG2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/YG2image.png)

- На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/E3kimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/E3kimage.png)

Также после выполнения вышеуказанных действий в разделе **Ресурсы** **&gt;** **Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Ccwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Ccwimage.png)

#### Установка коллектора KUMA

Выполните подключение к <span lang="EN-US">CLI</span><span lang="EN-US"> сервера </span><span lang="EN-US">KUMA</span> (установка сервиса коллектора выполняется с правами <span lang="EN-US">root</span>).

Для установки сервиса коллектора выполните команду, скопированную на прошлом шаге.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Oweimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Oweimage.png)

При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.

```shell
# Пример для firewalld
firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent
firewall-cmd --reload
```

После успешной установки сервиса в столбце **Статус** в веб-интерфейсе KUMA появится **зеленая индикация**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/H2uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/H2uimage.png)

---

### Настройка FortiAnalyzer

Пересылка событий FortiGate в KUMA выполняется средствами механизма Log Forwarding, доступного в FortiAnalyzer. Для настройки пересылки в веб-интерфейсе FortiAnalyzer:

- Перейдите в **System Settings &gt; Log Forwarding**
- Нажмите **Create New**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/HHEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/HHEimage.png)

- В появившемся окне **Create New Log Forwarding** укажите: 
    - **Name** - KUMA CEF
    - **Status** - Включено
    - **Remote Server Type** - Common Event Format (CEF)
    - **Server FQDN/IP** - &lt;IP-адрес или FQDN сервера коллектора KUMA&gt;
    - **Server Port** - &lt;Укажите порт, указанный на шаге **Транспорт** при создании сервиса коллектора&gt;
    - **Reliable Connection** - Включено
    - Опционально фильтры в секции **Log Forwarding Filters**
- Нажмите **ОК**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/P8simage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/P8simage.png)

- Убедитесь, что параметры нового сервера для пересылки событий сохранены.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/jrRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/jrRimage.png)

---

### Проверка поступления событий FortiGate в KUMA

Для проверки, что пересылка событий FortiGate с FortiAnalyzer успешно настроена перейдите в **Ресурсы** &gt; **Активные сервисы** &gt; выберите ранее созданный коллектор FortiGate-FortiAnalyzer &gt; ПКМ &gt; **Перейти к событиям.**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Jhvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Jhvimage.png)

В открывшемся окне **События** убедитесь, что присутствуют события FortiGate.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Kdbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Kdbimage.png)

---

### Полезные ссылки

- Настройка пересылки событий с помощью Log Forwarding:[ https://docs.fortinet.com/document/fortianalyzer/7.2.9/administration-guide/621804/log-forwarding](https://docs.fortinet.com/document/fortianalyzer/7.6.9/administration-guide/621804/log-forwarding)
- Описание типов и полей событий FortiGate: [https://docs.fortinet.com/document/fortigate/7.2.8/fortios-log-message-reference/search](https://docs.fortinet.com/document/fortigate/7.2.8/fortios-log-message-reference/search)

# Континент версия 4

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройки Континента

Откройте Менеджер конфигурации Континента.

В настройках узла безопасности раскройте пункт **Журналирование и оповещение**, затем нажмите ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-05/scaled-1680-/tJUimage.png) и пропишете IP адрес и порт коллектора KUMA, рекомендуется использовать протокол TCP.

Уровени детализации журнала в Континенте (Рекомендуемый уровень детализации **Высокий**):

<table border="1" id="bkmrk-%D0%A3%D1%80%D0%BE%D0%B2%D0%B5%D0%BD%D1%8C-%D0%B4%D0%B5%D1%82%D0%B0%D0%BB%D0%B8%D0%B7%D0%B0%D1%86%D0%B8%D0%B8-" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 50%;"></col><col style="width: 50%;"></col></colgroup><tbody><tr><td class="align-left">**Уровень детализации журнала**</td><td class="align-left">**Уровень важности события**</td></tr><tr><td class="align-left">Отладочный</td><td class="align-left">Отладка (DEBUG)</td></tr><tr><td class="align-left">Минимальный</td><td class="align-left">Информация (INFO)</td></tr><tr><td class="align-left">Низкий</td><td class="align-left">Ошибка (ERR)</td></tr><tr><td class="align-left">Средний</td><td class="align-left">Критическая ошибка (CRIT)</td></tr><tr><td>Высокий</td><td>Тревога (ALERT)</td></tr><tr><td class="align-left">Предустановленный</td><td class="align-left">Предупреждение (Warning)</td></tr></tbody></table>

 Пример настройки ниже:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-05/scaled-1680-/uecimage.png)

Нажмите **Применить** и **ОК**.

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Usergate.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Континента.

2\. На шаге **Парсинг** событий выберите нормализатор **\[2024-05-03\] Unix AuditD (REGEX)** из папки нормализоторов Community-Pack.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Справка по Континенту версия 4 - [**тут**](https://docs.securitycode.ru/products/kontinent_4_1_7/Topics_Continent/Monitoring/NastrojkiParavrtrovSboraIHraneniyaZhurnalov/)

Статья в HABR по интеграции Континента и KUMA - [https://habr.com/ru/companies/tssolution/articles/792078/](https://habr.com/ru/companies/tssolution/articles/792078/)

# Mikrotik

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Инструкция применима для MikroTik с RouterOS 6 и 7+</p>

### Настройка Mikrotik

Настройка может выполняется с помощью WinBox (рассматривается этот метод), либо через веб-интерфейс MikroTik RouterOS под учетной записью с правами администратора или через командную строку.

Перейдите в раздел **System - Logging**, во вкладке **Actions** добавляем новый элемент (по умолчанию используется протокол UDP):

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/11rimage.png)

Cохраните настройку, нажав **Apply** и **OK**.

Настройка через командную строку:

```bash
/system logging action
/system/logging/action> add bsd-syslog=yes name=kuma remote=(KUMA_IP) remote=KUMA_PORT syslog-facility=syslog target=remote
```

Каждое событие в журналах Mikrotik может находиться одновременно в разных Topics, пример ниже:

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/FPeimage.png)

В правилах логирования необходимо укаказать Topics, не пересекающиеся в других правилах. Иными словами, нужно создать отдельные правила с указанием отдельных Topics и если необходимо указать исключения, для категорий событий, которые не нужно отправлять на коллектора, установите флаг **!** перед Topics. В раскрывающемся списке Action выберите созданное ранее действие kuma, затем нажмите **ОК**.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/yVuimage.png)

Настройка через командную строку:

```bash
/system logging
add topics=critical prefix=critical action=kuma
```

<p class="callout warning">При включении определенных Topics, особенно firewall может возрастать нагрузка на МЭ MikroTik, обращайте внимание на нагрузку системы после влючения логирования, особенно это касается моделей со слабой аппаратной начинкой</p>

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий MikroTik.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне MikroTik.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] MikroTik syslog.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

# Web



# IIS

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка IIS сервера

1\. Откройте диспетчер служб IIS и перейдите в настройки требуемого сайта

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/JQMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/JQMimage.png)

2\. В разделе IIS выберите "Ведение журнала". Задайте формат журнала "IIS" и укажите папку для хранения логов. После выполнения настроек в окне "Действия" нажмите применить.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/gfGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/gfGimage.png)

<p class="callout info">Формат логов должен быть именно **IIS** для возможности использования коробочного нормализатора  
Подробнее про данный формат логов: [https://learn.microsoft.com/en-us/windows/win32/http/iis-logging](https://learn.microsoft.com/en-us/windows/win32/http/iis-logging) </p>

3\. По умолчанию лог IIS будет записан в папку `C:\inetpub\logs\LogFiles`. Для данной папки необходимо включить общий доступ на чтение.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/tOeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/tOeimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/wCKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/wCKimage.png)

---

### Монтирование папки в KUMA

Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи IIS сервера на сервер коллектора KUMA.

1\. Для начала необходимо установить утилиту **cifs**, если она еще не установлена.

```bash
yum install -y cifs-utils
```

2\. Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке **/root/.iis-secret** со следующим содержимым:

```bash
username=<имя пользователя с правами на чтение папки>
password=<пароль пользователя>
domain=<домен, в случае доменного пользователя>
```

3\. Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера.

```bash
mkdir /mnt/iis
```

4\. Далее в конец файла `/etc/fstab` необходимо добавить строку

```bash
\\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными>,cache=none 0 0
```

Пример:

```bash
\\iis.demo.lab\dhcp /mnt/iis cifs credentials=/root/.iis-secret,cache=none 0 0
```

5\. Далее необходимо примонтировать общую папку командой:

```
mount -a
```

Для проверки успешности монтирования можно выполнить следующую команду:

```
ls /mnt/iis
```

6\. Убедитесь, что у пользователя kuma есть права на чтение файлов логов из данной директории, а также возможность просматривать директории по пути к логам.

Альтернативно, можно назначить пользователя kuma владельцем примонтированной папки:

```
chown -R kuma:kuma /mnt/iis
```

---

### Создание коллектора KUMA

Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий.

На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя коллектора**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/GSiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/GSiimage.png)

На втором шаге мастера необходимо выбрать тип подключения **file** и указать **маску пути** для файлов логов IIS сервера.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Z3Nimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Z3Nimage.png)

  
На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] IIS Log File Format**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Oyrimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Oyrimage.png)

  
Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению.

На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vf2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vf2image.png)

  
На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EVwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EVwimage.png)

В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора.

---

### Установка коллектора KUMA

Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA.  
Для установки сервиса коллектора необходимо выполнить скопированную команду.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/pHQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/pHQimage.png)

В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**.

Для поиска событий IIS можно использовать следующий запрос

```sql
SELECT * FROM `events` WHERE DeviceProduct = 'IIS' ORDER BY Timestamp DESC LIMIT 250
```

# Apache Access Syslog

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка Apache

Для настройки пересылки access-лога веб-сервера apache в KUMA необходимо выполнить следующие действия:

1\. Подключитесь к веб-серверу Apache

2\. Создайте конфигурационный файл `/etc/rsyslog.d/apache-access.log.conf` и добавьте в него следующие строки:

```bash
$ModLoad imfile
$InputFileName /var/log/apache2/access.log
$InputFileTag apache_access:
$InputFileStateFile stat-apache-access
$InputFileSeverity info
$InputFileFacility local3
$InputRunFileMonitor
$InputFilePollInterval 10
local3.* @<IP-адрес коллектора KUMA>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

```bash
local3.* @@<IP-адрес коллектора KUMA>:<порт коллектора>
```

3\. Перезапустите службу rsyslog. Для этого выполните команду:

```bash
systemctl restart rsyslog
```

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Apache Access Log.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Apache.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Apache Access Syslog (Common or Combined Log Format)**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

# 1С



# 1C:Предприятие (новые версии)

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Инсрукция на примере версии 8.3</p>

## Настройки на стороне 1С

<p class="callout info">Конфигурация 1С выполняется от учетной записи, с правами локального администратора Windows.</p>

### Выгрузка журнала регистрации информационной базы в локальную папку (JSON)

1. Запустите **1С:Предприятие**.
2. Выберите в списке информационную базу и нажмите кнопку 1С:Предприятие, затем введите данные учетной записи администратора и нажмите кнопку **Войти**.
3. В левой части окна нажмите **НСИ и администрирование**.
4. Откройте вкладку **Печатные формы, отчеты и обработки**.
5. Если не установлен флажок **Дополнительные отчеты и обработки**, установите его.
6. Откройте вкладку **Дополнительные отчеты и обработки**.
7. В панели инструментов вкладки нажмите кнопку **Добавить из файла**, затем в окне проводника **Выберите файл внешнего отчета или обработки**. Скачать архив [registration\_log\_json\_upload.zip](https://kb.kuma-community.ru/attachments/2) со сценарием для внешней обработки.
8. Выберите файл и нажмите кнопку **Открыть**. Откроется вкладка дополнительная обработка (создание).
9. В панели инструментов вкладки **нажмите Значок сохранить.**
10. На вкладке **Команды** выберите строку **Выгрузка журнала регистрации в формате JSON**.
11. Нажмите кнопку **Выполнить**. Откроется вкладка Выгрузка журнала регистрации в формате JSON.
12. В поле директория для хранения файлов введите путь для сохранения файлов журнала регистрации‚ например `С:\1С_Журнал`.
13. В поле **Интервал выгрузки в минутах** введите количество минут. за которые события журнала регистрации будут выгружаться в отдельный файл, рекомендуется `15` минут.
14. В поле **Дата выгрузки** выберите дату, с которой начнется выгрузка журнала регистрации.
15. Нажмите кнопку **Сохранить настройки** и подтвердите сохранение.
16. Закройте вкладку Выгрузка журнала регистрации в формате JSON.
17. На вкладке **Команды** в строке **Выгрузка журнала регистрации в формате JSON** установите **флажок**. Откроется окно **Расписание**.
18. Выберите вкладку **Дневное** и в поле **Повторять через** введите `900` (количество секунд в 15 минутах). Время начала и окончания оставьте без изменений (пустым). Нажмите кнопку **ОК**.
19. На вкладке **Команды** в строке **Удаление старых файлов** установите **флажок**. Откроется окно **Расписание**.
20. Выберите вкладку **Общие** и в поле **Повторять каждые** введите `1`. Нажмите кнопку **ОК**.
21. Нажмите кнопку **Записать и закрыть**.

Должно получиться следующее:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Tw4image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Tw4image.png)

### Настройка журналирования событий технологического журнала

Чтобы настроить журналирование событий технологического журнала на сервере «1С:Предприятия»:

1. Создайте конфигурационный файл `logcfg.xml`. Если вы используете Windows — в папке `<Папка установки`  
    `"1С:Предприятия">\bin\conf`.
2. Добавьте в файл служебные строки:
3. ```xml
    <?xml version="1.0" encoding="UTF-8"?>
    <config xmlns="http://v8.1c.ru/v8/tech-log">
    </config>
    ```
4. Добавьте в файл в элемент `<config>` строки с указанием пути для сохранения файлов журнала и времени хранения событий (в часах). Если вы используете Windows, укажите путь к общей папке:
5. ```xml
    <log location="<Путь к общей папке>" history="168">
    <property name="all"></property>
    </log>
    ```
6. Добавьте в файл в элемент `<log>` строки с фильтрами событий из подпунктов ниже, затем **Сохраните** конфигурационный файл.
7. Настройте общий доступ к папкам с файлами журналов (сетевую файловую шару).

#### Фильтры по типам событий

- Успешная или неуспешная авторизация через толстый клиент, конфигуратор или СОМ-соединение

```xml
<event>
    <eq property="name" value="CALL"/>
    <eq property="MName" value="authenticateServer"/>
</event>
```

- Успешная авторизация через толстый клиент

```xml
<event>
    <eq property="name" value="SCALL"/>
    <eq property="MName" value="setSessionData"/>
    <eq property="t:applicationName" value="1CV8C"/>
</event>
```

- Ошибка авторизации через тонкий клиент

```xml
<event>
    <eq property="name" value="EXCP"/>
    <eq property="t:applicationName" value="1CV8C"/>
    <like property="Descr" value="%VResourceInfoBaseServerImpl.cpp%"/>
</event>
```

- Ошибка авторизации через веб-клиент

```xml
<event>
    <eq property="name" value="EXCP"/>
    <eq property="t:applicationName" value="WebServerExtension"/>
    <like property="Descr" value="%VResourceInfoBaseServerImpl.cpp%"/>
</event>
```

- Успешная авторизация через веб-клиент

```xml
<event>
    <eq property="name" value="SCALL"/>
    <eq property="t:applicationName" value="WebServerExtension"/>
    <eq property="MName" value="setSessionData"/>
    <ne property="Usr" value="DefUser"/>
</event>
```

- Успешно установлено соединение с сервером «1С:предприятия»

```xml
<event>
  <eq property="name" value="CONN"/>
  <like property="Txt" value="Accepted%"/>
</event>
```

- Подключение к дизайнеру заблокировано другим пользователем

```xml
<event>
    <eq property="name" value="CALL"/>
    <eq property="MName" value="lockConfig"/>
</event>
```

- Просмотр списка пользователей. подключенных к серверу «1С:Предприятия»

```xml
<event>
    <eq property="name" value="CALL"/>
    <eq property="MName" value="activeUsers"/>
</event>
```

- Просмотр пользователем параметров информационной базы

```xml
<event>
    <ea property="name" value="CALL"/>
    <eq property="MName" value="readInfoBaseAdmParams"/>
    <ne property="Usr" value=""/>
</event>
```

#### Пример конфигурационного файла logcfg.xml

```xml
<?xml version="1.0" encoding:"UTF-8"?>
<config
	xmlns="http://v8.1c.ru/v8/tech-log">
	<log location="<Путь к файлам журнала>" history="168">
		<event>
			<eq property="name" value="CALL"/>
			<eq property="MName" value="authenticateServer"/>
		</event>
		<event>
			<eq property="name" value="SCALL"/>
			<eq property="MName" value="setSessionData"/>
			<eq property="t:applicationName" value="1CV8C"/>
		</event>
		<event>
			<eq property="name" value="EXCP"/>
			<eq property="t:applicationName" value="1CV8C"/>
			<like property="Descr" value="%VResourceInfoBaseServerImpl.cpp%"/>
		</event>
		<event>
			<eq property="name" value="EXCP"/>
			<eq property="t:applicationName" value="WebServerExtension"/>
			<like property="Descr" value="%VResourceInfoBaseServerImpl.cpp%"/>
		</event>
		<event>
			<eq property="name" value="SCALL"/>
			<eq property="t:applicationName" value="WebServerExtension"/>
			<eq property="MName" value="setSessionData"/>
			<ne property="Usr" value="DefUser"/>
		</event>
		<event>
			<eq property="name" value="CONN"/>
			<like property="Txt" value="Accepted%"/>
		</event>
		<event>
			<eq property="name" value="CALL"/>
			<eq property="MName" value="lockConfig"/>
		</event>
		<event>
			<eq property="name" value="CALL"/>
			<eq property="MName" value="activeUsers"/>
		</event>
		<event>
			<ea property="name" value="CALL"/>
			<eq property="MName" value="readInfoBaseAdmParams"/>
			<ne property="Usr" value=""/>
		</event>
		<property name="all"></property>
	</log>
</config>   
```

## Монтирование папки к KUMA

Монтирование папки с журналом можно сделать по аналогии с [**этой** ](https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma)инструкцией.

# Пересылка многострочных XML-файлов 1C с помощью Linux-агента

<p class="callout info">Зачастую создание файловых информационных ресурсов на хостах компании недопустимо с точки зрения действующих требований департамента информационной безопасности. В связи с этим использование стандартного коллектора 1с-xml с возможностью вычитки события через примонтированную к серверу коллектора шару реализовать невозможно.</p>

##### 1. Настройка коллектора и агента KUMA для нормализации многострочных XML-файлов 1C

**Конфигурация коллектора**

<table border="1" id="bkmrk-%D0%9D%D0%B0%D0%B7%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5-%D0%BF%D0%BE%D0%BB%D1%8F-%D0%97%D0%BD%D0%B0%D1%87%D0%B5%D0%BD" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 33.244%;"></col><col style="width: 33.244%;"></col><col style="width: 33.244%;"></col></colgroup><tbody><tr><td class="align-center">**Название поля**</td><td class="align-center">**Значение поля**</td><td class="align-center">**Описание**</td></tr><tr><td>Collector name</td><td>\[xml\]\[1C\] - Multiline</td><td>Название коллектора</td></tr><tr><td>Transport **→** Kind</td><td>tcp</td><td>Тип</td></tr><tr><td>Transport **→** URL</td><td>:5180</td><td>Локальный порт, который слушает коллектор</td></tr><tr><td>Event parsing **→** Name</td><td>\[OOTB\] 1C EventJournal Normalizer</td><td>Нормализатор для многострочных XML-файлов 1C</td></tr></tbody></table>

**Конфигурация агента**

<table border="1" id="bkmrk-%D0%9D%D0%B0%D0%B7%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5-%D0%BF%D0%BE%D0%BB%D1%8F-%D0%97%D0%BD%D0%B0%D1%87%D0%B5%D0%BD-1" style="border-collapse: collapse; width: 100%; height: 148px;"><colgroup><col style="width: 33.3745%;"></col><col style="width: 33.3745%;"></col><col style="width: 33.3745%;"></col></colgroup><tbody><tr style="height: 29.6px;"><td class="align-center" style="height: 29.6px;">**Название поля**</td><td class="align-center" style="height: 29.6px;">**Значение поля**</td><td class="align-center" style="height: 29.6px;">**Описание**</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px;">Agent name</td><td style="height: 29.6px;">\[xml\]\[1C\] - Multiline</td><td style="height: 29.6px;">Название агента</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px;">Config **→** Connector **→** Name</td><td style="height: 29.6px;">local - 1C-XML</td><td style="height: 29.6px;">Название коннектора</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px;">Config **→** Connector **→** Kind</td><td style="height: 29.6px;">1c-xml</td><td style="height: 29.6px;">Тип</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px;">Config **→** Connector **→** URL</td><td style="height: 29.6px;">/opt/1c</td><td style="height: 29.6px;">Директория xml-файлов 1C</td></tr><tr><td>Config**→** Destinations **→** Name</td><td>1C-XML</td><td>Название точки назначения</td></tr><tr><td>Config**→** Destinations **→** Kind</td><td>tcp</td><td>Тип</td></tr><tr><td>Config**→** Destinations **→** URL</td><td>&lt;KUMA-FQDN&gt;:5180</td><td>Сервер и порт коллектора для приема журналов 1C</td></tr></tbody></table>

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Sctimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Sctimage.png)

---

##### 2. Установка Linux-агента на хост для сбора XML-журналов 1C

Для разового запуска Агента воспользуйтесь следующей командой:

```bash
sudo /opt/kaspersky/kuma/kuma agent --core https://<KUMA-FQDN>:7210 --id <ID> --wd /opt/kaspersky/agent/<ID>
```

Для автоматизации процесса сбора событий [установите агент в качестве службы](https://kb.kuma-community.ru/link/54#bkmrk-%D0%A3%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0-%D0%B0%D0%B3%D0%B5%D0%BD%D1%82%D0%B0-%D0%B2-%D0%BA "установка агента в качестве службы").  
Также можно воспользоваться утилитой **supervisor**. Для этого создайте конфигурационный файл (например, 1с.conf) в директории */etc/supervisor/conf.d/* со следующими настройками:

```bash
[program:agent_5f45aee7-655c-4014-aacd-07e4548de8ae]
command=sudo /opt/kaspersky/kuma/kuma agent --core https://<KUMA-FQDN>:7210 --id <ID> --wd /opt/kaspersky/agent/<ID>
autostart=true
autorestart=true
```

Для применения конфигурации перезагрузите службу:

```bash
sudo systemctl restart supervisor
```

Для просмотра статуса и наличия ошибок воспользуйтесь следующей командой:

```bash
sudo supervisorctl status
```

---

##### 3. Проверка получения событий

В веб-интерфейсе KUMA выберите коллектор и перейдите к событиям (Resources **→** Collector **→** Go to events). На основном экране появятся нормализованные события 1C, полученные с Linux-агента.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/9q8image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/9q8image.png)

# 1С Битрикс (Bitrix) интеграция с KUMA

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройки на стороне 1С

#### Создание пользователя для чтения логов

1\) Подключитесь к машине на которой установлен 1С:Управление сайтом и запустите консоль mysql под рутом (по умолчанию не требует пароля).

```bash
mysql -u root
```

<p class="callout warning">Если вы не знаете пароль, то его возможно восстановть, но это рекомендуется сначала делать на **тестовом стенде:** [https://dev.1c-bitrix.ru/community/forums/messages/forum32/topic63387/message727606/#message727606](https://dev.1c-bitrix.ru/community/forums/messages/forum32/topic63387/message727606/#message727606) </p>

2\) В БД необходимо создать нового пользователя с правами на чтение журнала событий, вместо **10.10.10.10** укажите **IP KUMA.**

```sql
CREATE USER 'kuma'@'10.10.10.10' IDENTIFIED BY 'password';
GRANT SELECT ON sitemanager.b_event_log TO 'kuma'@'10.10.10.10';
FLUSH PRIVILEGES;
```

### Настройки на стороне KUMA

1\) Импортируйте ресурс (пароль q123123Q!): [https://box.kaspersky.com/f/622c0730465643948c20/](https://box.kaspersky.com/f/622c0730465643948c20/)

2\) Измените секрет для подключения **(Ресурсы** -&gt; **Секреты** -&gt; **1С: Управление сайтом**), если используются спец символы, то пароль можно будет использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/)

```url
mysql://kuma:password@tcp(10.10.10.11:3306)/sitemanager
```

5\) При создании коллектора выберите коннектор и парсер - 1C:Управление сайтом, затем укажите точки назначения и создайте сервис.

# NXLog агент

Альтернатива агента KUMA

# Windows Агент NXLog

NXLog Community Edition может использоваться в качетсве альтернативного агента для сбора и отправки событий с файлов или Event журналов Windows, ниже будут примеры конфигураций для этих настроек:

### Сбор с файлов

- Загрузить Агент: [https://nxlog.co/products/nxlog-community-edition/download](https://nxlog.co/products/nxlog-community-edition/download)
- Детали по маскам пути файлов: [https://docs.nxlog.co/refman/v5.5/im/file.html](https://docs.nxlog.co/refman/v5.5/im/file.html)
- Лог ошибок агента: `C:\Program Files\nxlog\data\nxlog.log`
- Конфигурация агента находится по пути: `C:\Program Files\nxlog\conf\nxlog.conf`

<p class="callout info">После каждой правки конфигурации необходмо перезагружать службу агента NXLog</p>

Ниже пример конфигурации агента по cборe событий с файлов журналов WIndows DHCP и DNS с отправкой на коллектора KUMA по протоколу TCP:

```
<Input win_dhcp_file>
    Module  im_file
    File    "C:\dhcp\Dhcp*.log"
    #File    "C:\Windows\System32\dhcp\DhcpSrvLog*log"
</Input>

<Input win_dns_file>
    Module  im_file
    File    "C:\dns\dns.log"
</Input>

<Output to_kuma_dhcp>
    Module        om_tcp
    Host          10.68.85.125
    Port          5177
</Output>

<Output to_kuma_dns>
    Module        om_tcp
    Host          10.68.85.125
    Port          5178
</Output>

<Route file_to_tcp>
    Path          win_dhcp_file => to_kuma_dhcp
    Path          win_dns_file => to_kuma_dns
</Route>
```

### Чтение и отправка Event журналов

Ниже пример конфигурации агента по cборe событий с журналов WIndows EventLog и отправка по HTTP:

```
<Extension xml>
    Module      xm_xml
</Extension>

<Input win_log>
    Module  im_msvistalog
    #Module  im_mseventlog
    Exec    to_xml();
</Input>

<Output to_kuma>
    Module  om_http
    URL     http://10.68.85.129:5140/input
</Output>

<Route to_collecor>
    Path          win_log => to_kuma
</Route>
```

# Linux Агент NXLog

NXLog Community Edition может использоваться в качетсве альтернативного агента для сбора и отправки событий с файлов на ОС Linux.

- Необходимые пакеды для установки агента: [https://box.kaspersky.com/f/ca3202dbb39b4b5c929c/](https://box.kaspersky.com/f/ca3202dbb39b4b5c929c/)
- Загрузить Агент (для установки на Oracle Linux используйте RHEL пакет): [https://nxlog.co/products/nxlog-community-edition/download](https://nxlog.co/products/nxlog-community-edition/download)
- Конфигурация агента находится по пути: `/etc/nxlog/nxlog.conf`
- Конфигурация сервиса находится по пути: `/etc/systemd/system/multi-user.target.wants/nxlog.service`
- Опции запуска: 
    - ExecStartPre=/usr/bin/nxlog -v
    - ExecStart=/usr/bin/nxlog -f
    - ExecStop=/usr/bin/nxlog -s
    - ExecReload=/usr/bin/nxlog -r

# Cloud/Container/VM



# Настройка аудита VMware ESXi и vCenter

### VMware ESXi

#### Через веб-интерфейс

Проверьте корректность настроек времени и часового пояса, проверить синхронизацию с NTP-сервером (принять во внимание, что ОС VMware ESXi работает только по UTC).

Выполнить резервное копирование конфигурации ESXi-хоста.

Через web-интерфейс подключиться к ESXi-хосту используя учетную запись root.

В главном меню в разделе навигации развернуть вкладку Host и перейти по пути: **Host – Manage – Advanced Settings**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/UwEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/UwEimage.png)

В окне поиска набрать **Syslog.global.LogHost**, выбрать параметр Syslog.global.LogHost и отредактировать его.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/EaKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/EaKimage.png)

Укажите протокол, адрес и порт коллектора KUMA и нажмите **Save**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/evGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/evGimage.png)

Далее перейдите на вкладку **Networking – Firewall rules**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/c1Nimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/c1Nimage.png)

Найдите правило syslog, выделите его (можно воспользоваться поиском) и включите его, нажав на **Actions – Enable**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/iO1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/iO1image.png)

#### Через SSH

Настройку аудита можно выполнить через SSH. Включить доступ по SSH на ESXi-хосте, перейти по пунктам: **Host – Actions – Services – Enable Secure Shell (SSH)**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/YSEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/YSEimage.png)

Подключитесь к ESXi-хосту по SSH используя учетную запись root (например через Putty).

- Наберите команду: `esxcli system syslog config set --loghost=udp://192.168.1.250:514` (конфигурирование подключения к syslog-серверу, ip-адрес в команде не является легитимным и указан исключительно для примера).
- Наберите команду: `esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true` (включение разрешающего правила фильтрации для syslog).
- Наберите команду: `esxcli network firewall refresh` (обновление настроек межсетевого экрана ESXi-хоста).
- Наберите команду: `esxcli system syslog config get` (проверка настроек syslog-службы ESXi-хоста):

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/EB9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/EB9image.png)

- Набрать команду: `esxcli system syslog reload` (перезагрузка syslog-службы ESXi-хоста).
- Авторизоваться на ESXi-хосте, через его web-интерфейс под учетной записью с административными правами и **отключить доступ по SSH** (примечание: Согласно рекомендациям VMware, доступы по SSH и к ESXi-shell нужны только во время диагностических и аварийных работ).

**(Опционально)** Если необходимо отправлять события **Syslog на другой порт назначения**, необходимо добавить правило для МЭ ESXi, для этого зайдите на хост по SSH.

Создайте файл (используются классические Linux команды) со следующим содержимым, например для порта 5140 (назовем файл syslogPort-5140.xml):

```xml
<!-- /etc/vmware/firewall/syslogPort-5140.xml -->
<!-- remote syslog configuration -->
<ConfigRoot>
  <service>
    <id>syslogPort-5140</id>
    <rule id='0000'>
      <direction>outbound</direction>
      <protocol>udp</protocol>
      <porttype>dst</porttype>
      <port>5140</port>
    </rule>

    <rule id='0001'>
      <direction>outbound</direction>
      <protocol>tcp</protocol>
      <porttype>dst</porttype>
      <port>5140</port>
    </rule>

    <enabled>false</enabled>
    <required>false</required>
  </service>
</ConfigRoot>
```

Для использования этого правила выполните команды ниже, и активируйте его:

- `cp syslogPort-5140.xml  /etc/vmware/firewall/`
- `esxcli network firewall unload`
- `esxcli network firewall load`

---

### VMware vCenter

Сделайте snapshot или выполните резервное копирование vCenter.

Через web-браузер подключитесь к vCenter Server Appliance Management Inteface (VAMI) используя административную учетную запись (например, administrator@vsphere.local).

Наберите в web-браузере: https://vcenter.test.local:5480 и ввести административные учетные данные (имя vcenter.test.local не является легитимным и указан для примера).

Убедитесь в корректности настроек времени в разделе Time (часовой пояс указан в качестве примера, а тип синхронизации в «Филиале» будет индивидуально зависеть от указанных местных настроек).

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/qtOimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/qtOimage.png)

Перейти в раздел **Syslog**, чтобы настроить Forwarding. Нажать кнопку **CONFIGURE**, укажите протокол, адрес и порт коллектора KUMA и нажмите **Save**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/azGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/azGimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/ky7image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/ky7image.png)

Отправьте тестовое сообщение:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/nxPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/nxPimage.png)

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/awIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/awIimage.png)

# Kubernetes (k8s) via Rsyslog

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Общее

Настройка логирования Kubernetes (k8s) выполняется путем модификации kube-apiserver. Подробное описание механизма аудита k8s приведено на официальном **[сайте](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)**. Данная инструкция предназначена для настройки аудита k8s для последующей передачи логов в KUMA.

---

### Настройка k8s

1\. Необходимо подключиться к ноде k8s с ролью control plane

2\. На ноде создаем директорию, куда будет помещена политика аудита

```bash
sudo mkdir /etc/kubernetes/audit/
```

3\. В созданной директории создаем файл с политикой аудита `/etc/kubernetes/audit/audit-policy.yaml` любым удобным способом. Содержимое файла может варьироваться от целей логирования, ниже приведен пример политики с официального сайта.

<p class="callout info">Будьте внимательны, конфигурации в k8s как правило задаются в виде файлов YAML, которые чувствительны к отступам. Валидируйте файлы перед их применением во избежание ошибок.</p>

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80-%D0%BF%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B8-%D0%B0%D1%83%D0%B4%D0%B8"><summary>Пример политики аудита k8s</summary>

```yaml
apiVersion: audit.k8s.io/v1 # This is required.
kind: Policy
# Don't generate audit events for all requests in RequestReceived stage.
omitStages:
  - "RequestReceived"
rules:
  # Log pod changes at RequestResponse level
  - level: RequestResponse
    resources:
    - group: ""
      # Resource "pods" doesn't match requests to any subresource of pods,
      # which is consistent with the RBAC policy.
      resources: ["pods"]
  # Log "pods/log", "pods/status" at Metadata level
  - level: Metadata
    resources:
    - group: ""
      resources: ["pods/log", "pods/status"]

  # Don't log requests to a configmap called "controller-leader"
  - level: None
    resources:
    - group: ""
      resources: ["configmaps"]
      resourceNames: ["controller-leader"]

  # Don't log watch requests by the "system:kube-proxy" on endpoints or services
  - level: None
    users: ["system:kube-proxy"]
    verbs: ["watch"]
    resources:
    - group: "" # core API group
      resources: ["endpoints", "services"]

  # Don't log authenticated requests to certain non-resource URL paths.
  - level: None
    userGroups: ["system:authenticated"]
    nonResourceURLs:
    - "/api*" # Wildcard matching.
    - "/version"

  # Log the request body of configmap changes in kube-system.
  - level: Request
    resources:
    - group: "" # core API group
      resources: ["configmaps"]
    # This rule only applies to resources in the "kube-system" namespace.
    # The empty string "" can be used to select non-namespaced resources.
    namespaces: ["kube-system"]

  # Log configmap and secret changes in all other namespaces at the Metadata level.
  - level: Metadata
    resources:
    - group: "" # core API group
      resources: ["secrets", "configmaps"]

  # Log all other resources in core and extensions at the Request level.
  - level: Request
    resources:
    - group: "" # core API group
    - group: "extensions" # Version of group should NOT be included.

  # A catch-all rule to log all other requests at the Metadata level.
  - level: Metadata
    # Long-running requests like watches that fall under this rule will not
    # generate an audit event in RequestReceived.
    omitStages:
      - "RequestReceived"

```

</details>4\. Далее создаем директорию, в которую будут записаны логи аудита k8s

```bash
sudo mkdir -p /var/log/kubernetes/audit/
```

5\. Далее необходимо будет внести изменения в конфигурацию пода kube-apiserver. Перед этим настоятельно рекомендуется сделать резервную копию конфигурации, например, следующей командой из вашей рабочей директории:

```bash
sudo cp /etc/kubernetes/manifests/kube-apiserver.yaml .
```

6\. Вносим изменение в kube-apiserver с помощью команды:

```
sudo vi /etc/kubernetes/manifests/kube-apiserver.yaml
```

7\. В секции `spec.containers.command` указываем следующие флаги, соблюдая отступы:

```yaml
- --audit-policy-file=/etc/kubernetes/audit/audit-policy.yaml
- --audit-log-path=/var/log/kubernetes/audit/audit.log
```

Где `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита, а `/var/log/kubernetes/audit/audit.log` - путь к файлу для записи логов.

8\. Дополнительно можно определить другие параметры логирования, такие как размер файла логов и количество файлов (подробное описание параметров можно найти [тут](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/#log-backend)):

```yaml
- --audit-log-maxsize=500
- --audit-log-maxbackup=3
```

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80-%D0%BD%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B8"><summary>Настройка секции spec.containers.command</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/CZAimage.png)

</details>9\. Далее в том же файле создаем соответствующие тома и точки монтирования для политики и директории для хранения логов

10\. В секцию `volumes` добавляем следующее соблюдая отступы:

```yaml
- hostPath:
    path: /etc/kubernetes/audit/audit-policy.yaml
    type: File
  name: audit
- hostPath:
    path: /var/log/kubernetes/audit/
    type: DirectoryOrCreate
  name: audit-log

```

Здесь `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита, а `/var/log/kubernetes/audit/audit.log` - путь к файлу для записи логов.

<details id="bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D1%81%D0%B5%D0%BA%D1%86%D0%B8%D0%B8-vol"><summary>Настройка секции volumes</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/QByimage.png)

</details>11\. В секцию `volumeMounts` добавляем следующее соблюдая отступы:

```yaml
- mountPath: /etc/kubernetes/audit/audit-policy.yaml
  name: audit
  readOnly: true
- mountPath: /var/log/kubernetes/audit/
  name: audit-log
  readOnly: false

```

<details id="bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D1%81%D0%B5%D0%BA%D1%86%D0%B8%D0%B8-vol-1"><summary>Настройка секции volumeMounts</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/4Wyimage.png)

</details>12\. Сохраняем все внесенные в файл измнения.

Т.к. была изменена конфигурация kube-apiserver, то под будет пересоздан, что может потребовать примерно до 1 минуты времени. Если под не смог подняться, необходимо проверить все внесенные изменения на предмет ошибок и опечаток, а также изучить логи по пути `/var/log/pods/`

Если все было сделано правильно, то под kube-apiserver поднимется и в директории /var/log/kubernetes/audit/ появится файл audit.log и начнет наполняться логами k8s.

---

### Настройка Rsyslog

<p class="callout info">Настройки ниже приведены для deb-систем.</p>

1\. Установка rsyslog

```bash
apt install rsyslog
```

2\. Включение и запуск службы rsyslog

```bash
systemctl enable rsyslog.service
systemctl start rsyslog.service
```

3\. Создание файла конфигурации для отправки через rsyslog файла лога k8s

```bash
nano /etc/rsyslog.d/k8s.conf
```

Пример содержимого файла с отправкой по TCP:

```bash
$ModLoad imfile
$InputFileName /var/log/kubernetes/audit/audit.log
$InputFileTag tag_k8s_log:
$InputFileStateFile k8s_log
$InputFileSeverity info
$InputFileFacility local6
$InputRunFileMonitor

local6.* @@10.10.10.10:7777
```

Где 10.10.10.10 - адрес коллектора KUMA, 7777 - порт коллектора KUMA

Для отправки событий по протоколу UDP последнюю строчку следует заменить на:

```bash
local6.* @10.10.10.10:7777
```

4\. После сохранения изменений в файле необходимо перезапустить сервис Rsyslog командой:

```bash
systemctl restart rsyslog.service
```

---

### Настройка коллектора KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `k8s`.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Kubernetes*.

2\. На шаге **Парсинг** событий выберите нормализатор **k8s via syslog**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Пакет контента для k8s: [https://github.com/KUMA-Community/kuma\_content/tree/main/rules/app/kubernetes](https://github.com/KUMA-Community/kuma_content/tree/main/rules/app/kubernetes)

Документация по настройке аудита k8s: [https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)

# Kubernetes (k8s) via webhook

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout warning">Данный способ является экспериментальным. Рекомендуемый способ приведен в статье **[k8s via rsyslog](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/kubernetes-k8s-via-rsyslog)**</p>

### Общее

Настройка логирования Kubernetes (k8s) выполняется путем модификации kube-apiserver. Подробное описание механизма аудита k8s приведено на официальном **[сайте](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)**. Данная инструкция предназначена для настройки аудита k8s для последующей передачи логов в KUMA.

---

### Настройка k8s

1\. Необходимо подключиться к ноде k8s с ролью control plane

2\. На ноде создаем директорию, куда будет помещена политика аудита

```bash
sudo mkdir /etc/kubernetes/audit/
```

3\. В созданной директории создаем файл с политикой аудита `/etc/kubernetes/audit/audit-policy.yaml` любым удобным способом. Содержимое файла может варьироваться от целей логирования, ниже приведен пример политики с официального сайта.

<p class="callout info">Будьте внимательны, конфигурации в k8s как правило задаются в виде файлов YAML, которые чувствительны к отступам. Валидируйте файлы перед их применением во избежание ошибок.</p>

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80-%D0%BF%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B8-%D0%B0%D1%83%D0%B4%D0%B8"><summary>Пример политики аудита k8s</summary>

```yaml
apiVersion: audit.k8s.io/v1 # This is required.
kind: Policy
# Don't generate audit events for all requests in RequestReceived stage.
omitStages:
  - "RequestReceived"
rules:
  # Log pod changes at RequestResponse level
  - level: RequestResponse
    resources:
    - group: ""
      # Resource "pods" doesn't match requests to any subresource of pods,
      # which is consistent with the RBAC policy.
      resources: ["pods"]
  # Log "pods/log", "pods/status" at Metadata level
  - level: Metadata
    resources:
    - group: ""
      resources: ["pods/log", "pods/status"]

  # Don't log requests to a configmap called "controller-leader"
  - level: None
    resources:
    - group: ""
      resources: ["configmaps"]
      resourceNames: ["controller-leader"]

  # Don't log watch requests by the "system:kube-proxy" on endpoints or services
  - level: None
    users: ["system:kube-proxy"]
    verbs: ["watch"]
    resources:
    - group: "" # core API group
      resources: ["endpoints", "services"]

  # Don't log authenticated requests to certain non-resource URL paths.
  - level: None
    userGroups: ["system:authenticated"]
    nonResourceURLs:
    - "/api*" # Wildcard matching.
    - "/version"

  # Log the request body of configmap changes in kube-system.
  - level: Request
    resources:
    - group: "" # core API group
      resources: ["configmaps"]
    # This rule only applies to resources in the "kube-system" namespace.
    # The empty string "" can be used to select non-namespaced resources.
    namespaces: ["kube-system"]

  # Log configmap and secret changes in all other namespaces at the Metadata level.
  - level: Metadata
    resources:
    - group: "" # core API group
      resources: ["secrets", "configmaps"]

  # Log all other resources in core and extensions at the Request level.
  - level: Request
    resources:
    - group: "" # core API group
    - group: "extensions" # Version of group should NOT be included.

  # A catch-all rule to log all other requests at the Metadata level.
  - level: Metadata
    # Long-running requests like watches that fall under this rule will not
    # generate an audit event in RequestReceived.
    omitStages:
      - "RequestReceived"

```

</details>4\. В этой же директории создаем файл `/etc/kubernetes/audit/audit-webhook.yaml` любым удобным способом. Пример содержимого файла приведен ниже:

```yaml
apiVersion: v1
kind: Config
preferences: {}
clusters:
- name: kube-auditing
  cluster:
    server: http://10.10.10.10:7777/input
users: []
contexts:
- name: default-context
  context:
    cluster: kube-auditing
    user: ""
current-context: default-context
```

Где 10.10.10.10 - адрес коллектора KUMA, а 7777 - порт коллектора. Все прочие параметры из примера можно оставлять без изменений.5. Далее создаем директорию, в которую будут записаны логи аудита k8s

5\. Далее необходимо будет внести изменения в конфигурацию пода kube-apiserver. Перед этим настоятельно рекомендуется сделать резервную копию конфигурации, например, следующей командой из вашей рабочей директории:

```bash
sudo cp /etc/kubernetes/manifests/kube-apiserver.yaml .
```

6\. Вносим изменение в kube-apiserver с помощью команды:

```
sudo vi /etc/kubernetes/manifests/kube-apiserver.yaml
```

7\. В секции `spec.containers.command` указываем следующие флаги, соблюдая отступы:

```yaml
- --audit-webhook-config-file=/etc/kubernetes/audit/audit-webhook.yaml
- --audit-webhook-mode=batch
- --audit-webhook-batch-max-size=1
```

Где `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита.

<details id="bkmrk-%D0%9F%D1%80%D0%B8%D0%BC%D0%B5%D1%80-%D0%BD%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B8"><summary>Настройка секции spec.containers.command</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/S5Timage.png)

</details>9\. Далее в том же файле создаем соответствующий том и точку монтирования для политик

10\. В секцию `volumes` добавляем следующее соблюдая отступы:

```yaml
- hostPath:
      path: /etc/kubernetes/audit/
      type: DirectoryOrCreate
    name: k8s-audit

```

Здесь `/etc/kubernetes/audit/` - путь к директории с политикой аудита и настройками webhook

<details id="bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D1%81%D0%B5%D0%BA%D1%86%D0%B8%D0%B8-vol"><summary>Настройка секции volumes</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/dQsimage.png)

</details>11\. В секцию `volumeMounts` добавляем следующее соблюдая отступы:

```yaml
 - mountPath: /etc/kubernetes/audit/
      name: k8s-audit
      readOnly: true

```

<details id="bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D1%81%D0%B5%D0%BA%D1%86%D0%B8%D0%B8-vol-1"><summary>Настройка секции volumeMounts</summary>

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/QS2image.png)

</details>12\. Сохраняем все внесенные в файл измнения.

Т.к. была изменена конфигурация kube-apiserver, то под будет пересоздан, что может потребовать примерно до 1 минуты времени. Если под не смог подняться, необходимо проверить все внесенные изменения на предмет ошибок и опечаток, а также изучить логи по пути `/var/log/pods/`

---

### Настройка коллектора KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `k8s`.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Kubernetes (`audit-webhook.yaml)`*.

2\. На шаге **Парсинг** событий выберите нормализатор **k8s via webhook**.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Пакет контента для k8s: [https://github.com/KUMA-Community/kuma\_content/tree/main/rules/app/kubernetes](https://github.com/KUMA-Community/kuma_content/tree/main/rules/app/kubernetes)

Документация по настройке аудита k8s: [https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)

# Docker via syslog

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Общее

Настройка логирования Docker выполняется путем модификации `/etc/docker/daemon.json`, либо точечно для каждого контейнера через указание соответствующих параметров при запуске. В данной статье будет рассмотрен первый вариант.

---

### Настройка Docker

1\. Необходимо подключиться к ноде Docker

2\. На ноде создать файл конфигурации `/etc/docker/daemon.json`, либо внести изменения в существующий. Пример файла конфигурации представлен ниже.

```json
{
  "log-driver": "syslog",
  "log-opts": {
    "syslog-address": "tcp://10.10.10.10:6688",
    "tag": "{{.ID}}/{{.Name}}",
    "syslog-format": "rfc5424"
  }
}
```

Где, `10.10.10.10` - адрес коллектора KUMA, `66888` - порт коллектора KUMA. При необходимости можно также переопределить протокол передачи, формат логов и тегирование. Подробности см. по ссылке в конце статьи.

3\. После внесения изменения в файл необходимо перезапустить службу Docker'а:

```bash
systemctl restart docker.service
```

В результате внесенных изменений события от Docker будут перенаправляться на сервис коллектора KUMA в соответствии с указанными параметрами.

<p class="callout info">Альтернативно можно настроить логирование на стороне Docker в файл и перенаправлять его содержимое через rsyslog или путем монтирования папки/установки агента KUMA.</p>

---

### Настройка коллектора KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `Docker`.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Docker*.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Syslog**.

<p class="callout info">В дальнейшем можно использовать кастомные парсеры в зависимости от приложений, работающих в контейнерах Docker.</p>

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

**- Хранилище**. Для отправки обработанных событий в хранилище.  
**- Коррелятор**. Для отправки обработанных событий в коррелятор.  
Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Документация по настройке syslog в Docker: [https://docs.docker.com/engine/logging/drivers/syslog/](https://docs.docker.com/engine/logging/drivers/syslog/)

# Dr.Web Enterprise Security Suite

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://cdn-download.drweb.com/pub/drweb/esuite/13.0.1/documentation/html/ru/admin\_manual/index.html?notifications\_configure.htm](https://cdn-download.drweb.com/pub/drweb/esuite/13.0.1/documentation/html/ru/admin_manual/index.html?notifications_configure.htm) </p>

### Настройка на стороне Dr.WEB Enterprise Security Suite

Настройка производится под встроенным УЗ admin в его разделе **Администрирование → Конфигурация оповещений**

У него два блока настроек оповещений:

- первый настроен под email;
- второй (SIEM KUMA) под Syslog.

Для настройки в этой версии сервера Dr.Web лучше прямо под встроенным УЗ admin в консоль заходить. У других админов этот блок может быть не всегда виден, либо не работать кнопка тестового события, либо ещё что-то.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-09/scaled-1680-/SJHimage.png)

Настройка коллектора KUMA по аналогии с этой главой (предварительно выберите тип коннектора **UDP**) - [**ссылка**](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ksc-cef#bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D0%BA%D0%BE%D0%BB%D0%BB%D0%B5%D0%BA%D1%82%D0%BE%D1%80%D0%B0)

Рекомендуемый парсер (без агрегации/склейки событий) для правил корреляции Community - **\[2024-09-23\] Dr. Web CEF** (из Community-Pack)

# PostgreSQL

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

<p class="callout info">Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm) </p>

### Установка плагина pgAudit

Чтобы установить плагин pgAudit:

1\. В командном интерпретаторе выполните команды под учетной записью с правами администратора:

```bash
sudo apt update
sudo apt -y install postgresql-<версия базы данных PostgreSQL>-pgaudit
```

Версию плагина необходимо выбрать в зависимости от версии СУБД PostgresSQL. Информацию о версиях СУБД PostgreSQL и необходимых версиях плагина см.по ссылке: [https://github.com/pgaudit/pgaudit#postgresql-version-compatibility](https://github.com/pgaudit/pgaudit#postgresql-version-compatibility).

<p class="callout info">Пример:  
`sudo apt -y install postgresql-12-pgaudit`</p>

2\. Найдите конфигурационный файл `postgres.conf`. Для этого **в командной строке СУБД PostgresSQL** выполните команду:

```
SHOW config_file;
```

В ответе будет указано расположение конфигурационного файла.

3\. Создайте резервную копию конфигурационного файла `postgres.conf`.

Откройте файл `postgres.conf` и скопируйте или замените имеющиеся значения на указанные ниже.

```bash
## pgAudit settings
shared_preload_libraries = 'pgaudit'
## database logging settings
log_destination = 'syslog'
## syslog facility
syslog_facility = 'LOCAL0'
## event ident
syslog_ident = 'Postgres'
## sequence numbers in syslog
syslog_sequence_numbers = on
## split messages in syslog
syslog_split_messages = off
## message encoding
lc_messages = 'en_US.UTF-8'
## min message level for logging
client_min_messages = log
## min error message level for logging
log_min_error_statement = info
## log checkpoints (buffers, restarts)
log_checkpoints = off
## log query duration
log_duration = off
## error description level
log_error_verbosity = default
## user connections logging
log_connections = on
## user disconnections logging
log_disconnections = on
## log prefix format
log_line_prefix = '%m|%a|%d|%p|%r|%i|%u| %e '
## log_statement
log_statement = 'none'
## hostname logging status. dns bane resolving affect
#performance!
log_hostname = off
## logging collector buffer status
#logging_collector = off
## pg audit settings
pgaudit.log_parameter = on
pgaudit.log='ROLE, DDL, MISC, FUNCTION'
```

4\. Перезапустите службу СУБД PostgreSQL при помощи команды:

```bash
sudo systemctl restart postgresql
```

5\. Чтобы загрузить плагин pgAudit в СУБД PostgreSQL, в командной строке СУБД PostgreSQL выполните команду:

```
CREATE EXTENSION pgaudit;
```

---

### Настройка Syslog для отправки событий

Чтобы настроить передачу событий от сервера, на котором установлена PostgreSQL, в коллектор:

1\. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду:

```
sudo systemctl status rsyslog.service
```

Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

```bash
yum install rsyslog
sudo systemctl enable rsyslog.service
sudo systemctl start rsyslog.service
```

В каталоге `/etc/rsyslog.d/` создайте файл `pgsql-to-siem.conf` со следующим содержанием:

```bash
If $programname contains 'Postgres' then @<IP-адрес коллектора>:<порт коллектора>
```

Если вы хотите отправлять события по протоколу TCP, содержимое файла должно быть таким:

```bash
If $programname contains 'Postgres' then @@<IP-адрес коллектора>:<порт коллектора>
```

В конфигурационный файл `/etc/rsyslog.conf` добавьте следующие строки:

```bash
$IncludeConfig /etc/rsyslog.d/pgsql-to-siem.conf
$RepeatedMsgReduction off
```

Перезапустите сервис rsyslog, выполнив следующую команду:

```
sudo systemctl restart rsyslog.service
```

---

### Настройка KUMA

После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий pgAudit.

1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне pgAudit.

2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] PostgreSQL pgAudit syslog.**

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

- **Хранилище**. Для отправки обработанных событий в хранилище.
- **Коррелятор**. Для отправки обработанных событий в коррелятор.

Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их.

4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**.

5\. Скопируйте появившуюся команду для установки коллектора KUMA.

---

### Полезные ссылки

Настройка получения событий pgAudit (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm)

# Битрикс24 (Bitrix24) CRM

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

### Настройка Битрикс24 CRM

В данной статье рассматривается вариант, когда в качестве базы данных Битрикс24 CRM используется MySQL. Все настройки выполняются **в** **консоли** сервера БД с помощью утилиты **mysql**. Вы можете использовать наиболее привычный для Вас способ.

<p class="callout info">Протестировано на версии Битрикс24 CRM 24.0.400</p>

#### Создание пользователя БД и предоставление прав

- В консоли сервера выполните подключение к БД MySQL с правами администратора (по умолчанию **root**).

```
mysql -u root -p
```

<p class="callout info">Если пароль для пользователя **root** не установлен, попробуйте подключиться без `-p`</p>

- Создайте нового пользователя, который сможет подключаться к серверу MySQL только с IP-адреса сервера KUMA (коллектора KUMA в случае распределенной инсталляции).

```mysql
CREATE USER 'kuma'@'10.10.10.10' IDENTIFIED BY '<задайте пароль>';
```

- Предоставьте пользователю права доступа. В данном случае предоставляется право выполнять операцию `SELECT` (только чтение) к таблице `b_event_log` в базе данных `sitemanager`.

```mysql
GRANT SELECT ON sitemanager.b_event_log TO 'kuma'@'10.10.10.10';
```

- MySQL автоматически обновит привилегии для нового пользователя.
- Чтобы убедиться, что права были предоставлены корректно, выполните следующую команду для отображения прав созданного пользователя:

```mysql
SHOW GRANTS FOR 'kuma'@'10.10.10.10';
```

<p class="callout warning">По умолчанию сервер MySQL настроен на работу только с локальным подключением через `localhost.` При необходимости разрешите удаленные запросы и входящие соединения на порт TCP/3306 (используется по умолчанию) на локальном МЭ.</p>

<span style="color: rgb(34, 34, 34); font-family: var(--font-heading, var(--font-body)); font-size: 2.333em; font-weight: 400; text-align: justify;">Настройка KUMA</span>

#### Импорт набора ресурсов Битрикс24 CRM MySQL

- Выполните импорт набора ресурсов KUMA для [Битрикс24 CRM MySQL](https://raw.githubusercontent.com/KUMA-Community/kuma_content/refs/heads/main/normalizers/Other/%D0%91%D0%B8%D1%82%D1%80%D0%B8%D0%BA%D1%8124%20CRM%20MySQL%20(SQL)) (пароль `q123123Q!q123123Q!`).

#### Настройка секрета

- В веб-интерфейсе KUMA внесите изменения в ресурс Секрета **Битрикс24 CRM MySQL,** импортированный на предыдущем шаге, указав актуальные учетные данные для подключения к БД MySQL: 
    - Перейдите в **Ресурсы** &gt; **Секреты**.
    - Выберите секрет **Битрикс24 CRM MySQL** и укажите **Пользователя** и **Пароль.**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/n9Himage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/n9Himage.png)

#### Настройка коннектора

- В веб-интерфейсе KUMA внесите изменения в ресурс Коннектора **Битрикс24 CRM MySQL,** импортированный на предыдущем шаге, указав актуальный URL-адрес сервера MySQL: 
    - Перейдите в раздел **Ресурсы** &gt; **Коннекторы.**
    - Выберите коннектор **Битрикс24 CRM MySQL** и укажите актуальный URL-адрес сервера MySQL.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/ojeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/ojeimage.png)

<p class="callout info">В поле URL можно указать FQDN или IP-адрес сервера MySQL:  
mysql://user:password@tcp(mysql.example.com:3306)/sitemanager  
mysql://user:password@tcp(10.10.10.11:3306)/sitemanager  
</p>

<p class="callout info">В качестве идентификатора используется столбец ID. При необходимости Вы можете использовать столбец TIMESTAMP\_X (если требуется собирать события, начиная с определенной даты) . Для этого измените значение в параметре **Столбец идентификатора** и внесите изменения в применяемый SQL-запрос.</p>

#### Создание коллектора

Для сбора событий Битрикс24 CRM необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне мастера настройки **Создание коллектора:**

- На первом шаге (**Подключение источников**) выберите **Имя коллектора** и **Тенант**, к которому будет относиться создаваемый коллектор.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/6Ndimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/6Ndimage.png)

- На втором шаге мастера (**Транспорт**) укажите ранее созданный коннектор для подключения к БД MySQL.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/u8Timage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/u8Timage.png)

- На третьем шаге мастера укажите импортированный ранее нормализатор **Битрикс24 CRM MySQL.**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/uQTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/uQTimage.png)

- Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее.
- На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/X4timage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/X4timage.png)

- На завершающем шаге мастера **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/hZEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/hZEimage.png)

- Нажмите **Сохранить**.
- После выполнения вышеуказанных действий в разделе **Ресурсы** &gt; **Активные сервисы** появится созданный сервис коллектора.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/QQWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/QQWimage.png)

#### Установка коллектора KUMA

- Выполните подключение к <span lang="EN-US">CLI</span><span lang="EN-US"> сервера </span><span lang="EN-US">KUMA (коллектора KUMA при распределенной инсталляции).</span>
- <span style="border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm; mso-ansi-language: RU; mso-fareast-language: RU;">Для установки сервиса коллектора в командной строке выполните команду под учетной записью </span><span lang="EN-US" style="border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm; mso-fareast-language: RU;">root</span><span style="border: none windowtext 1.0pt; mso-border-alt: none windowtext 0cm; padding: 0cm; mso-ansi-language: RU; mso-fareast-language: RU;">, скопированную на прошлом шаге.</span>
- После успешной установки сервиса его статус в веб-интерфейсе KUMA изменится на **Вкл** с **зеленой индикацией**.

#### Проверка поступления событий

- Для проверки, что сбор событий Битрикс24 CRM из БД MySQL успешно настроен перейдите в **Ресурсы** &gt; **Активные сервисы** &gt; выберите ранее созданный коллектор Битрикс24 CRM MySQL &gt; нажмите ПКМ &gt; **Перейти к событиям.**
- <span style="mso-ansi-language: RU;">В открывшемся окне</span><span lang="EN-US"> </span>**<span style="mso-ansi-language: RU;">События</span>**<span lang="EN-US"> </span><span style="mso-ansi-language: RU;">убедитесь, что присутствуют события Битрикс24 CRM</span><span style="mso-ansi-language: RU;">. </span>

# ClickHouse (сбор событий аудита БД)

<p class="callout info">Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.</p>

Для настройки базового аудита Clickhouse понадобится:  
  
1\. Для логирования обычных запросов (в том числе grant, create, drop) включить логирование в основном файле (по умолчанию включено):

```bash
/etc/clickhouse-server/config.xml
```

 в секции logger как минимум необходимо задать формат information

```xml
#########################################
<clickhouse>
    <logger>
        <level>information</level>
#########################################
```

2\. Для логирования подключений, таких как:

- Login пользователя
- Failure logon
- Logout пользователя

потребуется создать отдельный файл

```bash
/etc/clickhouse-server/config.d/session_log.xml
```

 с содержимым:

```xml
<clickhouse>
    <session_log>
        <database>system</database>
        <table>session_log</table>
        <flush_interval_milliseconds>7500</flush_interval_milliseconds>
    </session_log>
</clickhouse>
```

3\. Перезапустить службу командой systemctl restart clickhouse-server

В базе system появится новая таблица со следующими колонками:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/s17image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/s17image.png)

Создаём пользователя для подключения к БД для KUMA и выдаём ему необходимые права следующим командами (с использованием ранее настроенного аудита):

```sql
###Шаг 1. Создание пользователя для коллектора KUMA
CREATE USER kuma HOST IP '10.10.10.1/32' IDENTIFIED WITH sha256_password BY 'supersecretpassword';

####Шаг 2. Создание VIEW для вывода нескольких запросов
CREATE VIEW combined_logs AS
SELECT event_time AS timestamp,
       query_kind AS deviceAction,
       user AS userName,
       toString(initial_address) AS sourceAddress,
       exception AS msg,
       query AS requestUrl,
	   query_duration_ms AS dcs1,
	   memory_usage AS dcs2
FROM system.query_log
WHERE query_kind IN ('Grant', 'Create', 'Drop') OR query_duration_ms > '600000' OR memory_usage > '1000000000'
ORDER BY timestamp DESC
  
UNION ALL  
  
SELECT 
    event_time AS timestamp, 
    type AS deviceAction,  
    user AS userName, 
    toString(client_address) AS sourceAddress,
    failure_reason AS msg,
    NULL AS request_url,
	NULL AS dcs1,
	NULL AS dcs2
FROM 
    system.session_log 
WHERE 
    type = 'LoginFailure'

####Шаг 3. Назначение прав на VIEW
GRANT SELECT ON combined_logs TO kuma
```

Пример как выглядит вывод VIEW:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/scaled-1680-/wd5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/wd5image.png)

Настройка инстанса завершена, можно приступать к подключению логов в KUMA.

Итого данной View мы выводим следующие события:

- Login пользователя
- Failure logon
- Logout пользователя
- Длительный запрос в базу (более 10 минут, как пример)(условие query\_duration\_ms &gt; '600000' в запросе )
- Большое потребление памяти при запросе (более 1 Гб, как пример)(условие memory\_usage &gt; '1000000000')
- Создание пользователя
- Назначение прав пользователю
- Удаление пользователя

В KUMA необходимо создать коллектор с транспортом sql (плейсхолдер для Clickhouse - ?) и параметрами как на скриншоте:

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/scaled-1680-/7Ygimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/7Ygimage.png)

Выбираем нормализатор Clickhouse ([доступен в Community pack](https://kas.pr/kuma-ppack)), добавляем необходимые точки назначения и инсталлируем службу коллектора.

Либо, если нам **<span style="color: rgb(0, 0, 0);">не нужны события входа в БД</span>** можем использовать запрос только в таблицу по умолчанию:

```sql
###Шаг 1. Создание пользователя для коллектора KUMA
CREATE USER kuma HOST IP '10.10.10.1/32' IDENTIFIED WITH sha256_password BY 'supersecretpassword';

####Шаг 2. Назначение прав на выполнение SELECT к system.query_log
GRANT SELECT ON system.query_log TO kuma

####Шаг 3. Используем запрос для KUMA коллектора
SELECT event_time AS timestamp,
       query_kind AS deviceAction,
       user AS userName,
       toString(initial_address) AS sourceAddress,
       exception AS msg,
       query AS requestUrl,
	   query_duration_ms AS dcs1,
	   memory_usage AS dcs2
FROM system.query_log
WHERE query_kind IN ('Grant', 'Create', 'Drop') OR query_duration_ms > '600000' OR memory_usage > '1000000000' AND timestamp > ?
ORDER BY timestamp DESC
```

# ALD Pro отправка логов

Ссылка на документацию вендора: [https://wiki.astralinux.ru/kb/nastrojka-syslog-ng-dlya-peredachi-logov-v-siem-sistemu-348162837.html](https://wiki.astralinux.ru/kb/nastrojka-syslog-ng-dlya-peredachi-logov-v-siem-sistemu-348162837.html)

Файл pdf: [Настройка\_syslog\_ng\_для\_передачи\_логов\_в\_SIEM\_систему\_v1\_20250218.pdf](https://kb.kuma-community.ru/attachments/1)