# Подключение источников # Официальная документация по настройке источников
Ссылка: [https://support.kaspersky.com/KUMA/3.4/ru-RU/256206.htm](https://support.kaspersky.com/KUMA/3.4/ru-RU/256206.htm)
---
[Настройка получения событий Auditd](https://support.kaspersky.com/KUMA/3.4/ru-RU/239760.htm) [Настройка получения событий KATA/EDR](https://support.kaspersky.com/KUMA/3.4/ru-RU/240690.htm) [Настройка получения событий Kaspersky Security Center в формате CEF](https://support.kaspersky.com/KUMA/3.4/ru-RU/241235.htm) [Настройка получения событий Kaspersky Security Center из MS SQL](https://support.kaspersky.com/KUMA/3.4/ru-RU/245386.htm) [Настройка получения событий с устройств Windows с помощью Агента KUMA (WEC)](https://support.kaspersky.com/KUMA/3.4/ru-RU/248413.htm) [Настройка получения событий с устройств Windows с помощью Агента KUMA (WMI)](https://support.kaspersky.com/KUMA/3.4/ru-RU/257568.htm) [Настройка получения событий DNS-сервера с помощью агента ETW](https://support.kaspersky.com/KUMA/3.4/ru-RU/279436.htm) [Настройка получения событий PostgreSQL](https://support.kaspersky.com/KUMA/3.4/ru-RU/251880.htm) [Настройка получения событий ИВК Кольчуга-К](https://support.kaspersky.com/KUMA/3.4/ru-RU/254156.htm) [Настройка получения событий КриптоПро NGate](https://support.kaspersky.com/KUMA/3.4/ru-RU/252218.htm) [Настройка получения событий Ideco UTM](https://support.kaspersky.com/KUMA/3.4/ru-RU/255211.htm) [Настройка получения событий KWTS](https://support.kaspersky.com/KUMA/3.4/ru-RU/254373.htm) [Настройка получения событий KLMS](https://support.kaspersky.com/KUMA/3.4/ru-RU/254784.htm) [Настройка получения событий KSMG](https://support.kaspersky.com/KUMA/3.4/ru-RU/254785.htm) [Настройка получения событий KICS for Networks](https://support.kaspersky.com/KUMA/3.4/ru-RU/282775.htm) [Настройка получения событий PT NAD](https://support.kaspersky.com/KUMA/3.4/ru-RU/256166.htm) [Настройка получения событий c помощью плагина MariaDB Audit Plugin](https://support.kaspersky.com/KUMA/3.4/ru-RU/256167.htm) [Настройка получения событий СУБД Apache Cassandra](https://support.kaspersky.com/KUMA/3.4/ru-RU/258317.htm) [Настройка получения событий FreeIPA](https://support.kaspersky.com/KUMA/3.4/ru-RU/258336.htm) [Настройка получения событий VipNet TIAS](https://support.kaspersky.com/KUMA/3.4/ru-RU/255310.htm) [Настройка получения событий Nextcloud](https://support.kaspersky.com/KUMA/3.4/ru-RU/265465.htm) [Настройка получения событий Snort](https://support.kaspersky.com/KUMA/3.4/ru-RU/265480.htm) [Настройка получения событий Suricata](https://support.kaspersky.com/KUMA/3.4/ru-RU/265484.htm) [Настройка получения событий FreeRADIUS](https://support.kaspersky.com/KUMA/3.4/ru-RU/265491.htm) [Настройка получения событий VMware vCenter](https://support.kaspersky.com/KUMA/3.4/ru-RU/268252.htm) [Настройка получения событий zVirt](https://support.kaspersky.com/KUMA/3.4/ru-RU/265514.htm) [Настройка получения событий Zeek IDS](https://support.kaspersky.com/KUMA/3.4/ru-RU/265545.htm) [Настройка получения событий Windows с помощью Kaspersky Endpoint Security для Windows](https://support.kaspersky.com/KUMA/3.4/ru-RU/280730.htm) [Настройка получения событий Сodemaster Mirada](https://support.kaspersky.com/KUMA/3.4/ru-RU/282770.htm) [Настройка получения событий Postfix](https://support.kaspersky.com/KUMA/3.4/ru-RU/287428.htm) [Настройка получения событий CommuniGate Pro](https://support.kaspersky.com/KUMA/3.4/ru-RU/290156.htm) [Настройка получения событий Yandex Cloud](https://support.kaspersky.com/KUMA/3.4/ru-RU/290821.htm) [Настройка получения событий Microsoft 365](https://support.kaspersky.com/KUMA/3.4/ru-RU/295058.htm)
# Kaspersky Подключение источников производителя Kaspersky # KSC CEF

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/2.1/ru-RU/241235.htm](https://support.kaspersky.com/KUMA/2.1/ru-RU/241235.htm "Настройка получения событий Kaspersky Security Center в формате CEF")

Функция экспорта событий Kaspersky Security Center в SIEM-системы в формате CEF доступна при наличии лицензии Kaspersky Endpoint Security для бизнеса **Расширенный** или **выше**.

### Настройка передачи событий KSC в формате CEF Чтобы настроить передачу событий от Сервера администрирования Kaspersky Security Center в SIEM-систему KUMA: 1\. В дереве консоли Kaspersky Security Center выберите узел **Сервер администрирования**. 2\. В рабочей области узла выберите вкладку **События**. 3\. Перейдите по ссылке **Настроить параметры уведомлений и экспорта событий** и в раскрывающемся списке выберите **Настроить экспорт в SIEM-систему**. Откроется окно **Свойства**: **События**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GWvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GWvimage.png) 4\. Установите флажок **Автоматически экспортировать события в базу SIEM-системы**. 5\. В раскрывающемся списке SIEM-система выберите **ArcSight (CEF-формат)**.[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/AtKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/AtKimage.png) 6\. Укажите адрес сервера SIEM-системы KUMA и порт для подключения к серверу в соответствующих полях. По кнопке **Экспортировать архив** Kaspersky Security Center экспортирует уже созданные события в базу SIEM-системы KUMA с указанной даты. По умолчанию Kaspersky Security Center экспортирует события с текущей даты. 7\. Нажмите на кнопку **ОК**. --- ### Настройка коллектора KUMA 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**. 2\. В списке коллекторов найдите коллектор с нормализатором **\[OOTB\] KSC** и откройте его для редактирования.
Что делать, если ресурс не доступен для редактирования Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.

3\. На шаге **Транспорт** в поле **URL** укажите порт, по которому коллектор будет получать события Kaspersky Security Center. 4\. Порт должен совпадать с портом сервера SIEM-системы KUMA, указанным в настройках на стороне KSC. 5\. На шаге Парсинг событий проверьте, что выбран нормализатор **\[OOTB\] KSC**. 6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 8\. Скопируйте появившуюся команду для установки коллектора KUMA. # KSC MS SQL

**✔️ Рекомендуется** - Рекомендуемый способ сбора для этого источника событий

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/KUMA/2.1/ru-RU/245386.htm](https://support.kaspersky.com/KUMA/2.1/ru-RU/245386.htm)

SQL Server должен поддерживать TLS 1.2 - дополнительную информацию можно изучить тут: [https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server](https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server "https://support.microsoft.com/en-us/help/3135244/tls-1-2-support-for-microsoft-sql-server")

Для отключения защищенного подключения к БД можно воспользоваться следующей опцией в коннекторе: `sqlserver://user:password@server:port?database=DBName&encrypt=disable`

### ### Настройка БД MS SQL Для сбора событий из БД MS SQL необходимо создать учетную запись с соответствующеми правами. Для этого выполните следующие действия: 1. Перейдите на сервер, где установлена БД MS SQL для KSC. С помощью Microsoft SQL Server Management Studio подключитесь к БД из-под учетной записи, обладающей правами администратора в БД. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/image.png) 2\. Перейдите в соответствующий экземпляр БД MS SQL на вкладку Security и для вкладки Logins выберите New Login... ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/OtCimage.png) 3\. Добавьте учетную запись пользователя, с помощью которой будет осуществляться доступ к БД KSC ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/lw0image.png) 4. Установите для учетной записи БД KSC в качестве БД по умолчанию (по умолчанию в KSC используется БД KAV). ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/vlsimage.png) 5\. Настройте учетной записи права db\_datareader и public для БД KSC в соответствии с изображением ниже. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Ph5image.png) 6\. Убедитесь, что созданной учетной записи разрешено подключение к БД. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kECimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kECimage.png)

Для проверки прав созданной учетной записи можно запустить Microsoft SQL Management Studio от имени созданного пользователя (с зажатым Shift нажать ПКМ и выбрать Запуск от имени другого пользователя). Затем перейти в любую таблицу БД KSC и сделать выборку по этой таблице.

--- ### Настройка SQL Server Browser Для подключения к серверу MS SQL для сбора событий необходимо настроить соответствующую службу и разрешить входящие подключения. Для этого выполните следующие действия: 1. Откройте оснастку SQL Server Configuration Manager. Запустите службу SQL Server Browser и задайте автоматический запуск службы. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7OBimage.png) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/xzaimage.png) 2. Включите TCP/IP протокол для соответствующего экземпляра БД. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/rM2image.png) 3. В свойствах протокола, на вкладке IP Addresses для поля IPALL в TCP Port укажите значение 1433. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EEWimage.png) 4. Перезапустите службу экземпляра SQL сервера. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J1Yimage.png) 5. Разрешите на сервере входящие подключения по порту 1433. Это можно сделать в оснастке Брандмауэр защитника Windows в режиме повышенной безопасности. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/WyOimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/WyOimage.png) --- ### Создание секрета KUMA Для подключения к БД MS SQL со стороны KUMA необходимо создать строку подключения. Для этого выполните следующие действия: 1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты** и нажмите на кнопку **Добавить секрет**. 2\. Укажите **Имя** секрета, выберите **Тенант**, к которому будет относиться создаваемый секрет. 3\. Задайте секрету тип **urls** и в поле **URL** укажите строку вида (в квадратных скобках опциональный параметр, квадратные скобки прописывать не надо): **sqlserver://\[<domain>%5C\]<username>:<password>@<server>:1433/<наименование БД>** По умолчанию наименование БД импользуется **KAV**: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/SdYimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/SdYimage.png)
Примеры `sqlserver://test.local%5Cuser:password123!@10.0.0.1:1433/KAV` `sqlserver://user:password123!@server.demo.lab:1433/KAV`
`%5C` – используется для разделения домена и пользователя и представляет собой знак `\` в URL-формате. Если в пароле пользователя используются спецсимволы их также необходимо перевести в URL формат в соответствии с таблицей ниже.
!\#$%&'()\*+
%21%23%24%25%26%27%28%29%2A%2B
,/:;=?@\[\]\\
%2C%2F%3A%3B%3D%3F%40%5B%5D%5C
Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/) пример: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DPTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DPTimage.png)

Если в пароле присутствуют другие спецсиволы, которые отсутствуют в таблице выше, либо прото для удобства, то с версии KUMA 3.2 можно использовать опцию - **Секрет отдельно** для указания логина и пароля.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Wsgimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Wsgimage.png) 4\. Сохраните созданный секрет.

Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.

--- ### Настройка коннектора 1\. Для подключения к БД MS SQL необходимо настроить коннетор. Для этого выполните следующие действия 2\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы**. 3\. В списке коннекторов справа найдите коннектор **\[OOTB\] KSC SQL** и откройте его для редактирования.
Что делать, если ресурс не доступен для редактирования Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.

4\. На вкладке **Основные параметры** в выпадающих списках **URL** выберите секрет, созданный для подключения к БД MS SQL. 5\. Нажмите **Сохранить**. --- ### Настройка коллектора 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**. 2\. В списке коллекторов найдите коллектор с нормализатором **\[OOTB\] KSC from SQL** и откройте его для редактирования.
Что делать, если ресурс не доступен для редактирования Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

Важно! При копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.

3\. На шаге **Транспорт** выберите коннектор **\[OOTB\] KSC SQL** 4\. На шаге Парсинг событий проверьте, что выбран нормализатор **\[OOTB\] KSC from SQL**. 6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 8\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Альтернативный вариант создания коллектора В случае, если предполагается использование коробочных ресурсов без изменений: 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Секреты** 2\. Откройте на редактирование секрет **\[OOTB\] KSC MSSQL connection** 3\. Задайте в секрете строку подключения в соответствии с разделом "**Создание секрета KUMA**" 4\. Сохраните созданный секрет с помощью кнопки "**Сохранить**" 5\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коллекторы**. 6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 8\. Скопируйте появившуюся команду для установки коллектора KUMA. # KSC PostgreSQL

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка PostgreSQL Настройки на сервере БД PostgreSQL можно выполнять в консоли (SSH, терминал ОС) или средствами утилиты pgAdmin (требуется установка). В данной статье сервер БД PostgreSQL работает под управлением ОС Astra Linux, а все настройки выполняются **в консоли.** Для удобства в базе данных PostgreSQL Kaspersky Security Center предусмотрен набор публичных представлений. Таким образом можно создавать запросы непосредственно к публичным представлениям и извлекать из них данные о событиях. "Коробочный" коннектор KUMA **\[OOTB\] KSC PostgreSQL** содержит уже готовые запросы к публичным представлениям **v\_akpub\_ev\_event** и **v\_akpub\_host**.

Коннектор **\[OOTB\] KSC PostgreSQL** позволяет экспортировать события из БД PostgreSQL Kaspersky Security Center (KSC) версии 15.0.

Проверена работоспособность коннектора с KSC 14.2 Windows (БД PostgreSQL).

#### Проверка имени БД KSC Чтобы проверить имя базы данных KSC можно воспользоваться следующей статьей: [https://support.kaspersky.ru/ksc-linux/15/228689](https://support.kaspersky.ru/ksc-linux/15/228689) (KSC Linux) Альтернативным вариантом является проверка имени БД в консоли сервера, на котором установлена БД KSC: - Измените текущего пользователя на **postgres** ```bash sudo -i -u postgres ``` - Запустите интерактивный терминал PostgreSQL и выведите список баз данных сервера ``` psql \l # вывод списка баз данных сервера ``` [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/scaled-1680-/12eimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/12eimage.png) #### Создание роли БД и предоставление прав - В консоли сервера, где установлена БД PostreSQL KSC, измените текущего пользователя на **postgres** ```bash sudo -i -u postgres ``` - Запустите интерактивный терминал PostgreSQL ```bash psql ```

Также для создания роли БД и предоставления ей соответствующих прав можно использовать существующую учетную запись с атрибутом **role creation** и правами доступа к публичным представлениям. Пример подключения к БД: psql -U <имя УЗ> -d <имя БД KSC>

- Создайте роль пользователя kuma ```bash CREATE USER kuma WITH PASSWORD '<задайте пароль>'; ``` - Подключитесь к БД KSC (см. Раздел "**Проверка имени БД KSC**". По умолчанию KAV) ``` \connect KAV ``` - Предоставьте права роли KUMA ```bash GRANT SELECT ON v_akpub_ev_event TO kuma; GRANT SELECT ON v_akpub_host TO kuma; GRANT SELECT ON v_akpub_virus_activity TO kuma; GRANT SELECT ON v_akpub_hst_prdstate TO kuma; GRANT SELECT ON v_akpub_host_status TO kuma; ``` #### Настройка удаленного доступа к БД PostgreSQL и метода аутентификации - Откройте файл **/etc/postgresql/<версия БД PostgreSQL>/main/pg\_hba.conf** и в секции **IPv4 local connections** добавьте следующую строку ```bash host <имя БД,например, KAV> kuma /32 scram-sha-256 ``` [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/4j9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/4j9image.png) - Откройте файл конфигурации **/etc/postgresql/<версия БД PostgreSQL>/main/postgresql.conf** и в секции **CONNECTIONS AND AUTHENTICATION** укажите IP-адрес интерфейса сервера БД, на котором будут "прослушиваться" входящие соединения [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/scaled-1680-/Sluimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-12/Sluimage.png) - После внесения изменений и сохранения файла конфигурации выполните рестарт сервиса PostgreSQL ```bash systemctl restart postgresql ```

При необходимости разрешите входящие соединения на порт БД PostgreSQL (по умолчанию, TCP/5432) в параметрах локального FW.

--- ### Создание секрета KUMA 1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты** 2\. Выберите секрет **\[OOTB\] KSC PostgreSQL connection** и нажмите **Дублировать.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/jaMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/jaMimage.png) 3\. В появившемся окне задайте: - Название секрета - URL (формат URL можно взять из **Описания** к секрету). В поле URL укажите: - Имя ранее созданной роли (в нашем примере это **kuma**) и ее пароль; - IP-адрес или FQDN сервера БД; - Наименование БД KSC (по умолчанию KAV. См. **Проверка имени БД KSC**). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/PA3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/PA3image.png)

Если в пароле используются спецсимволы необходимо перевести данные спецсимволы в URL формат в соответствии с таблицей ниже.

Примеры `postgres://kuma:p%40ssword123%21@server.demo.lab/KAV`
!\#$%&'()\*+
%21%23%24%25%26%27%28%29%2A%2B
,/:;=?@\[\]\\
%2C%2F%3A%3B%3D%3F%40%5B%5D%5C
Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/) Пример: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DPTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DPTimage.png)

По умолчанию коллектор KUMA при обращении к БД PostgreSQL будет пытаться построить TLS-туннель. Если на стороне сервера БД не настроено использование SSL/TLS (что НЕ рекомендуется!) в URL секрета необходимо добавить **"?sslmode=disable"**, чтобы строка приняла следующий вид: postgres://user:password@server/database**?sslmode=disable**

4\. Нажмите **Сохранить**.

Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.

--- ### Настройка коннектора 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы** 2\. В списке коннекторов справа найдите коннектор **\[OOTB\] KSC PostgreSQL** и нажмите **Дублировать** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/BzHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/BzHimage.png) 3\. В появившемся окне задайте: - Название коннектора - На вкладке **Основные параметры** в выпадающих списках **URL** выберите секрет, созданный ранее для подключения к БД PostgreSQL KSC. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Deoimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Deoimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/jsaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/jsaimage.png) 4\. Нажмите **Сохранить**. --- ### Настройка коллектора 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите **Подключить источник** 2\. В появившемся окне задайте **Название коллектора** и **Тенант** 3\. На шаге **Транспорт** выберите ранее созданный коннектор 4\. На шаге **Парсинг событий** выберите нормализатор **\[OOTB\] KSC from SQL**. 5\. На шаге **Маршрутизация** задайте следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. 6\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 7\. Скопируйте появившуюся команду и выполните установку сервиса коллектора. --- ### Проверка поступления событий KSC в KUMA Для проверки, что экспорт событий из БД KSC успешно настроен, перейдите в **Ресурсы -> Активные сервисы ->** выберите ранее созданный коллектор **KSC PostgreSQL** и нажмите **Перейти к событиям**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/X7Eimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/X7Eimage.png) В открывшемся окне **События** убедитесь, что присутствуют события KSC. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Ok0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/Ok0image.png) # KSC MariaDB

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

### Настройка MariaDB В **MariaDB** настройки на сервере базы данных можно выполнять несколькими способами: через консоль (SSH, терминал ОС) или с помощью графических интерфейсов, таких как **phpMyAdmin** или **MySQL Workbench** В данной статье сервер БД MariaDB работает под управлением ОС Ubuntu 22.04.5, а все настройки выполняются **в консоли.** Для удобства в базе данных MariaDB Kaspersky Security Center предусмотрен набор публичных представлений. Таким образом можно создавать запросы непосредственно к публичным представлениям и извлекать из них данные о событиях. "Коробочный" коннектор KUMA **\[OOTB\] KSC MySQL** содержит уже готовые запросы к публичным представлениям **v\_akpub\_ev\_event** и **v\_akpub\_host**.

Для обеспечения корректной работы MariaDB с Kaspersky Security Center рекомендуется использовать версии MariaDB начиная с 10.5.17 или более новые.

#### Проверка имени БД KSC Чтобы проверить имя базы данных KSC можно воспользоваться следующей статьей: Просмор имени базы данных Kaspersky Security Center Linux - (KSC Linux) - [https://support.kaspersky.ru/ksc-linux/15.1/228689](https://support.kaspersky.ru/ksc-linux/15.1/228689) Альтернативным вариантом является проверка имени БД в консоли сервера, на котором установлена БД KSC: - Подключитесь к серверу базы данных ``` mariadb -h localhost -u admin -p ``` где, вместо `admin` задайте логин своего пользователя MariaDB - Запустите интерактивный терминал MariaDB и выведите список баз данных сервера ```mysql SHOW DATABASES; ``` ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/Sosimage.png) #### Создание роли БД и предоставление прав -
Подключитесь к серверу базы данных
``` mariadb -h localhost -u admin -p ``` - Создайте роль пользователя для сбора событий, в данном примере - `kuma_siem````mysql CREATE USER kuma_siem IDENTIFIED by 'password'; ``` - Предоставьте права роли KUMA к публичным представлениям: ```mysql GRANT SELECT ON `KAV`.`v_akpub_hst_prdstate` TO `kuma_siem`@`%`; GRANT SELECT ON `KAV`.`v_akpub_ev_event` TO `kuma_siem`@`%`; GRANT SELECT ON `KAV`.`v_akpub_host_status` TO `kuma_siem`@`%`; GRANT SELECT ON `KAV`.`v_akpub_virus_activity` TO `kuma_siem`@`%`; GRANT SELECT ON `KAV`.`v_akpub_host` TO `kuma_siem`@`%` ``` Права предоставляются в виде: ```mysql GRANT SELECT ON `название базы данных`.`таблица` TO `имя пользователя БД`@`хост с которого идет подключение`; # % - все хосты ``` - Проверьте права пользователя ```mysql SHOW GRANTS FOR 'kuma_siem'@'%'; ``` ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/sm4image.png)

При необходимости разрешите входящие соединения на порт БД MariaDB (по умолчанию, TCP/3306) в параметрах локального FW, а также в настройках конфигурационного файла my.cnf

--- ### Создание секрета KUMA 1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы →** **Секреты → Добавить** 2\. Создайте секрет MariaDB, В появившемсе окне задайте - URL (формат URL можно взять из **Описания** к секрету). В поле URL укажите: - Имя ранее созданной роли (в нашем примере это **kuma\_siem**) и ее пароль; - Протокол подключения - IP-адрес или FQDN сервера БД ; - Порт подключения (по умолчанию `3306`) - Наименование БД KSC (по умолчанию `KAV`. См. **Проверка имени БД KSC**). ```bash mysql://<имя пользователя БД>:<Пароль>@<протокол подключения>(:<порт>)/<имя Базы данных> ``` Например: `mysql://kuma_siem:password@tcp(10.10.10.10:3306)/KAV`

Если в пароле используются спецсимволы необходимо перевести данные спецсимволы в URL формат в соответствии с таблицей ниже.

Примеры mysql://kuma:p%40ssword123%2@tcp(ip:port)/KAV
!\#$%&'()\*+
%21%23%24%25%26%27%28%29%2A%2B
,/:;=?@\[\]\\
%2C%2F%3A%3B%3D%3F%40%5B%5D%5C
Можно использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/) 3\. Нажмите **Сохранить**

Обратите внимание, после сохранения секрета поле URL будет пустым во избежание утечки чувствительной информации.

--- ### Настройка коннектора 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** → **Коннекторы** 2\. В списке коннекторов найдите коннектор **\[OOTB\] KSC MySQL**, отметьте его галочкой и нажмите **Дублировать** 3\. В появившемся окне задайте: - - - Название коннектора - На вкладке **Основные параметры** в разделе **Соединение** в выпадающих списках URL выберите секрет, созданный ранее для подключения к БД MariaDB KSC

Обратите внимание, что в коннекторе используется несколько запросов! URL подключения необходимо заменить для **ВСЕХ** запросов.

4\. В запросе смените название БД (`ksc_srv`) на имя БД KSC, в нашем случае `KAV` (по умолчанию) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/dvuimage.png) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/4iVimage.png)

Обратите внимание, что в коннекторе используется несколько запросов! Название БД необходимо заменить для **ВСЕХ** запросов.

--- ### Настройка коллектора 1\. В веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите **Подключить источник** 2\. В появившемся окне задайте **Название коллектора** и **Тенант** 3\. На шаге **Транспорт** выберите ранее созданный коннектор 4\. На шаге **Парсинг событий** выберите сдублированный нормализатор **\[OOTB\] KSC from SQL**. 5\. На шаге **Маршрутизация** задайте следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. 6\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 7\. Скопируйте появившуюся команду и выполните установку сервиса коллектора. --- ### Проверка поступления событий KSC в KUMA Для проверки, что экспорт событий из БД KSC успешно настроен, перейдите в **Ресурсы -> Активные сервисы ->** выберите ранее созданный коллектор **KSC PostgreSQL** и нажмите **Перейти к событиям** В открывшемся окне **События** убедитесь, что присутствуют события KSC. ### ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/QY7image.png) --- ### Полезные ссылки Настройка сервера MariaDB x64 для работы с Kaspersky Security Center Linux - [https://support.kaspersky.ru/ksc-linux/15/210277](https://support.kaspersky.ru/ksc-linux/15/210277) Коннекторы типа sql в kuma - [https://support.kaspersky.ru/kuma/3.2/220746](https://support.kaspersky.ru/kuma/3.2/220746) # KLMS

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm)

### Настройка передачи событий KLMS в KUMA Чтобы настроить передачу событий KLMS в KUMA: 1\. Подключитесь к серверу KLMS по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode. 2\. С помощью утилиты `klms-control` выгрузите настройки в файл `settings.xml`: ```bash sudo /opt/kaspersky/klms/bin/klms-control --get-settings EventLogger -n -f /tmp/settings.xml ``` 3\. Убедитесь, что параметры файла `/tmp/settings.xml `имеют следующие значения, при необходимости внесите изменения: ```xml 1 Local1 ``` 4\. Примените настройки с помощью следующей команды: ```bash sudo /opt/kaspersky/klms/bin/klms-control --set-settings EventLogger -n -f /tmp/settings.xml ``` 5\. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл `/etc/rsyslog.conf`. ```bash $WorkDirectory /var/lib/rsyslog $ActionQueueFileName ForwardToSIEM $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local1.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local1.* @@:<порт коллектора> ``` 6\. Сохраните внесённые изменения. 7\. Перезапустите сервис rsyslog с помощью следующей команды: ```bash sudo systemctl restart rsyslog.service ``` --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KLMS. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KLMS. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KLMS syslog CEF**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий KLMS (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254786.htm) # KSMG 1.1

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm)

### Настройка передачи событий KSMG в KUMA

Данная инструкция применима для KSMG версии 1.1

Чтобы настроить передачу событий KSMG в KUMA: 1\. Подключитесь к серверу KSMG по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode. 2\. С помощью утилиты `ksmg-control` выгрузите настройки в файл `settings.xml`: ```bash sudo /opt/kaspersky/ksmg/bin/ksmg-control --get-settings EventLogger -n -f /tmp/settings.xml ``` 3\. Убедитесь, что параметры файла `/tmp/settings.xml `имеют следующие значения, при необходимости внесите изменения: ```xml 1 Local1 ``` 4\. Примените настройки с помощью следующей команды: ```bash sudo /opt/kaspersky/ksmg/bin/ksmg-control --set-settings EventLogger -n -f /tmp/settings.xml ``` 5\. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл `/etc/rsyslog.conf`. ```bash $WorkDirectory /var/lib/rsyslog $ActionQueueFileName ForwardToSIEM $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local1.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local1.* @@:<порт коллектора> ``` 6\. Сохраните внесённые изменения. 7\. Перезапустите сервис rsyslog с помощью следующей команды: ```bash sudo systemctl restart rsyslog.service ``` --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KSMG. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KSMG. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KSMG**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий KSMG (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254785.htm) Публикация событий в SIEM-систему (онлайн-справка KSMG): [https://support.kaspersky.com/help/KSMG/1.1.3/ru-RU/151504.htm](https://support.kaspersky.com/help/KSMG/1.1.3/ru-RU/151504.htm) # KSMG 2.0

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Настройка отправкм логов для актуальной версии KSMG 2.1.1VA доступно из справки - [https://support.kaspersky.com/KSMG/2.1.1VA/ru-RU/218660.htm](https://support.kaspersky.com/KSMG/2.1.1VA/ru-RU/218660.htm)

### Настройка передачи событий KSMG в KUMA

Данная инструкция применима для KSMG версии 2.0

Чтобы настроить передачу событий KSMG в KUMA: 1\. Подключитесь к серверу KSMG по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode. 2\. Внесите следующие изменения в файл с параметрами экспорта событий `/opt/kaspersky/ksmg/share/templates/core_settings/event_logger.json.template`: ```json "siemSettings": { "enabled": true, "facility": "Local2", "logLevel": "Info", "formatting": { ``` Прочие параметры оставьте без изменений.

Перед внесением изменений в файл `/etc/rsyslog.conf` рекомендуется сделать его резервную копию. Ошибка при редактировании файла может привести к некорректной работе системы.

3\. В файле `/etc/rsyslog.conf` измените строку: ```bash *.info;mail.none;authpriv.none;cron.none;local0.none;local1.none /var/log/messages ``` на ```bash *.info;mail.none;authpriv.none;cron.none;local0.none;local1.none;local2.none /var/log/messages ``` 4\. Добавьте в файл `/etc/rsyslog.conf `следующую строку: ```bash local2.* -/var/log/ksmg-cef-messages ``` 5\. Создайте файл `/var/log/ksmg-cef-messages` и настройте права доступа к нему. Для этого выполните команды: ```bash touch /var/log/ksmg-cef-messages chown root:klusers /var/log/ksmg-cef-messages chmod 640 /var/log/ksmg-cef-messages ``` 6\. Настройте правила ротации файлов с экспортированными событиями. Для этого добавьте в файл `/etc/logrotate.d/ksmg-syslog` следующие строки: ```bash /var/log/ksmg-cef-messages { size 500M rotate 10 notifempty sharedscripts postrotate /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true endscript } ``` 7\. Перезапустите сервис rsyslog с помощью следующей команды: ```bash service rsyslog restart ```

Если вам не требуется сохранять файлы локально, пропустите шаги 4–7 из инструкции выше

8\. В веб-интерфейсе приложения в разделе **Параметры **→ **Журналы и события** → **События** внесите изменение в значение любого параметра и нажмите на кнопку **Сохранить**. Это необходимо для синхронизации параметров между узлами кластера и применения изменений, внесенных в конфигурационный файл. После этого вы можете вернуть исходное значение измененного параметра. 9\. Внесите следующие изменения в файл `/etc/rsyslog.conf`: ```bash $ActionQueueFileName ForwardToSIEM $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local2.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local2.* @@:<порт коллектора> ``` 10\. Перезапустите службу rsyslog. Для этого выполните команду: ```bash service rsyslog restart ``` --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KSMG. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KSMG. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KSMG**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA.

В случае если события не поступают перезапустите сервис rsyslog несколько раз

--- ### Полезные ссылки Публикация событий в SIEM-систему (онлайн-справка KSMG): [https://support.kaspersky.com/KSMG/2.0.1/ru-RU/151504.htm ](https://support.kaspersky.com/help/KSMG/2.0.1/ru-RU/151504.htm) # KWTS 6.0

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm)

### Настройка передачи событий KWTS в KUMA

Данная инструкция применима для KWTS версии 6.0

Чтобы настроить передачу событий KWTS в KUMA: 1\. Подключитесь к серверу KWTS по проколу SSH под учетной записью с правами администратора перейдите в меню Technical Support Mode.

Перед внесением изменений создайте резервные копии следующих файлов: - `/opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template` - `/etc/rsyslog.conf`

2\. Внесите следующие изменения в файл с параметрами экспорта событий `/opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template`: ```json "siemSettings": { "enabled": true, "facility": "Local5", "logLevel": "Info", "formatting": { ``` Прочие параметры оставьте без изменений. 3\. Внести изменения в файл `/etc/rsyslog.conf` : ```bash $WorkDirectory /var/lib/rsyslog $ActionQueueFileName ForwardToSIEM $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local5.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local5.* @@:<порт коллектора> ``` 4\. Перезапустите сервис rsyslog с помощью следующей команды: ```bash sudo systemctl restart rsyslog.service ``` 5\. В веб-интерфейсе приложения в разделе **Параметры **→ Syslog включите опцию **Записывать информацию о профиле трафика** и нажмите на кнопку **Сохранить**.
Дополнительный вариант логирования Так как в CEF могут логироваться не все события, в некоторых случаях целесообразно будет также оправлять в KUMA лог из `/var/log/kwts-messages`. В этом логе, например, содержится GUID, который позволяет связать события в КАТА и KWTS при отправке файлов на проверку в KATA. Для отправки на KUMA этих событий необходимо в файле `/etc/rsyslog.conf` добавить отправку событий с facility local1 в KUMA. Однако коллектор для этих целей потребуется другой, т.к. логи в данном случае будут не в формате CEF, а в kv. Также это потребует и разработки кастомного парсера. Чтобы настроить отправку local1 в KUMA нужно в конец файла дописать следующее для отправки по UDP: ```bash local1.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local1.* @@:<порт коллектора> ``` После перезапустите сервис rsyslog с помощью следующей команды: ```bash sudo systemctl restart rsyslog.service ```
--- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KWTS. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KWTS. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KWTS syslog CEF**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий KWTS (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/254373.htm) # KATA

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm)

### Настройка KATA Для настройки пересылки событий из KATA в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль центрального узла Kaspersky Anti Targeted Attack из-под учетной записи Администратора, предварительно отметив параметр **Local administrator** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J4eimage.png) 2\. Перейти в раздел **Settings** – **SIEM System** и настроить параметры отправки событий в KUMA SIEM: **Host/IP**: ip или fqdn адрес коллектора KUMA **Port**: порт коллектора KUMA **Protocol**: TCP или UDP **Host ID**: напр., kata-cn **Heartbeat**: интервал в минутах ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/14jimage.png) --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Kaspersky Anti Targeted Attack Platform. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KATA. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KATA.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий KATA/EDR (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/240690.htm) # KATA/NDR 7.0

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Данная инструкция предназначена строго для версии KATA/NDR **7.0**. Инструкция для предыдущих версии находится в соответствующем разделе базы знаний.

Данная способ позволяет собирать события **NDR**. Для сбора событий **KATA** воспользуйтесь соответствующей инструкцией.

### Настройка KATA/NDR Для настройки пересылки событий из KATA/NDR в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль KATA/NDR из-под учетной записи Администратора 2\. Перейти в раздел **Параметры** – **Коннекторы** и нажать на кнопку **Добавить коннектор** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/cBVimage.png) 3\. В открывшемся окне настроить параметры отправки событий в KUMA SIEM: **Тип коннектора**: SIEM; **Имя коннектора**: произвольное название, например, *KUMA Syslog;* **Адрес сервера**: 127.0.0.1; **Узел размещения коннектора**: выбрать нужный из выпадающего списка; **Пользователь программы**: выбрать нужного из выпадающего списка; **Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA; **Номер порта**: порт коллектора KUMA; **Транспортный протокол**: TCP или UDP. **Разрешить отправку записей аудита**: вкл, если требуется передача событий аудита **Разрешить отправку сообщений программы**: вкл, если требуется передача сообщений программы ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/IQPimage.png) 3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**. В результате в интерфейсе KATA/NDR созданный коннектор перейдет в состояние **Работает**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/3cTimage.png) --- ### Настройка отправки событий

По умолчанию события безопасности KATA/NDR не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.

Для настройки отправки событий необходимо: 1\. Войти в интерфейс KATA/NDR от имени пользователя **Старший офицер безопасности** 2\. Перейти на вкладку **Параметры** – **Типы событий** 3\. Выбрать один или несколько типов событий, которые необходимо передавать 4\. Нажать на кнопку **Выбрать коннекторы** 5\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события 6\. Подтвердить выбор нажатием кнопки **ОК** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/tKAimage.png) После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/GNXimage.png) --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KATA/NDR. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KATA/NDR. Также обязательно задайте в качестве разделителя **\\0**. 2\. На шаге **Парсинг** событий выберите соответствующий нормализатор
Какой нормализатор можно использовать Сделайте копию коробочного нормализатора **\[OOTB\] KICS4Net v3.х** В копии нормализатора, в главном парсере, на вкладке Обогащение измените значение константы для поля **DeviceProduct** на **NDR** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/CPcimage.png) Сохраните нормализатор и используйте его в коллекторе KATA/NDR
3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- # KEDR 4.0-4.1

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm)

### Настройка KEDR Чтобы импортировать в KUMA события Kaspersky Endpoint Detection and Response 4.1, выполните следующие действия на стороне Kaspersky Endpoint Detection and Response: 1\. Войдите в консоль управления того сервера Central Node, с которого вы хотите экспортировать события, по протоколу SSH или через терминал. 2\. В ответ на приглашение системы введите имя учетной записи администратора и пароль, заданный при установке Kaspersky Endpoint Detection and Response. Отобразится меню администратора компонента программы. 3\. В меню администратора компонента программы выберите режим Technical Support Mode. 4\. Нажмите на клавишу Enter. Отобразится окно подтверждения входа в режим Technical Support Mode. 5\. Подтвердите, что хотите выполнять действия с программой в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter. 6\. Выполните команду ```bash sudo -i ``` 7\. В конфигурационном файле `/etc/sysconfig/apt-services` в поле `KAFKA_PORTS` удалите значение `10000`.

Если к серверу Central Node подключены серверы Secondary Central Node или компонент Sensor, установленный на отдельном сервере, вам требуется разрешить соединение с сервером, на котором вы изменили конфигурационный файл, по порту `10000`.

Настоятельно не рекомендуется использовать этот порт для каких-либо внешних подключений, кроме KUMA. Чтобы ограничить подключение по порту 10000 только для KUMA, выполните команду:

`iptables -I INPUT -p tcp ! -s KUMA_IP_address --dport 10000 -j DROP`

8\. Выполните команду ```bash systemctl restart apt_ipsec.service ``` 9\. В конфигурационном файле `/usr/bin/apt-start-sedr-iptables` в поле `WEB_PORTS` добавьте значение `10000` через запятую без пробела. 10\. Выполните команду ```bash sudo sh /usr/bin/apt-start-sedr-iptables ``` --- ### Настройка KUMA 1\. На сервере KUMA добавьте IP-адрес сервера Central Node в формате ` centralnode` в один из следующих файлов: `%WINDIR%\System32\drivers\etc\hosts` – в случае сбора телеметрии KEDR агентом KUMA для Windows.
Как отредактировать файл hosts в Windows 1\. Запустите cmd.exe от имени администратора 2\. Выполните команду ```cmd notepad.exe %WINDIR%\System32\drivers\etc\hosts ``` 3\. Внести изменения в файл и сохраните (`Ctrl + S`)
`/etc/hosts` file – в случае сбора телеметрии KEDR коллектором или агентом KUMA для Linux. 2\. В веб-интерфейсе KUMA создайте коннектор типа Kafka. При создании коннектора укажите следующие параметры: \- В поле **URL** укажите **<IP-адрес сервера Central Node>:10000** \- В поле **Topic** укажите **EndpointEnrichedEventsTopic**. \- В поле **Consumer** group укажите любое уникальное имя. 3\. В веб-интерфейсе KUMA создайте коллектор. 4\. На шаге **Транспорт** укажите коннектор, созданный на шаге 2. 5\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**. 6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 8\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий KATA/EDR (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm) # KEDR 5.0-6.0

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/234627.htm)

### Настройка KEDR

При импорте событий из Kaspersky Endpoint Detection and Response 5.0 действует ряд ограничений: - Импорт событий доступен только для неотказоустойчивой версии Kaspersky Endpoint Detection and Response. - Импорт событий доступен, если в программе Kaspersky Endpoint Detection and Response используются лицензионные ключи KATA и KEDR. - Импорт событий не доступен, если в составе программы Kaspersky Endpoint Detection and Response используется компонент Sensor, установленный на отдельном сервере.

Чтобы импортировать в KUMA события Kaspersky Endpoint Detection and Response 5.0, выполните следующие действия на стороне Kaspersky Endpoint Detection and Response: 1\. Войдите в консоль управления того сервера Central Node, с которого вы хотите экспортировать события, по протоколу SSH или через терминал. 2\. В ответ на приглашение системы введите имя учетной записи администратора и пароль, заданный при установке Kaspersky Endpoint Detection and Response. Отобразится меню администратора компонента программы. 3\. В меню администратора компонента программы выберите режим Technical Support Mode. 4\. Нажмите на клавишу Enter. Отобразится окно подтверждения входа в режим Technical Support Mode. 5\. Подтвердите, что хотите выполнять действия с программой в режиме Technical Support Mode. Для этого выберите Yes и нажмите на клавишу Enter. 6\. Выполните команду ```bash sudo -i ``` 7\. В конфигурационном файле `/usr/local/lib/python3.8/dist-packages/firewall/create_iptables_rules.py` укажите дополнительный порт `10000` для константы `WEB_PORTS`: ```bash WEB_PORTS = f'10000,80,{AppPort.APT_AGENT_PORT},{AppPort.APT_GUI_PORT}' ``` Для **KATA 6.0** файл находится по пути `/opt/venv/lib/python3.11/site-packages/firewall/create_iptables_rules.py` и строку надо отредактировать в таком виде: ``` WEB_PORTS = '10000,80,' + ','.join( ``` 8\. Выполните команды:

Кластерная подсеть по умолчанию: 198.18.0.0/16

```bash kata-firewall stop kata-firewall start --cluster-subnet <маска сети для адресации серверов кластера> ``` --- ### Настройка KUMA 1\. На сервере KUMA добавьте IP-адрес сервера Central Node в формате ` kafka.services.external.dyn.kata` в один из следующих файлов: `%WINDIR%\System32\drivers\etc\hosts` – в случае сбора телеметрии KEDR агентом KUMA для Windows.
Как отредактировать файл hosts в Windows 1\. Запустите cmd.exe от имени администратора 2\. Выполните команду ``` notepad.exe %WINDIR%\System32\drivers\etc\hosts ``` 3\. Внести изменения в файл и сохраните (`Ctrl + S`)
`/etc/hosts` file – в случае сбора телеметрии KEDR коллектором или агентом KUMA для Linux. 2\. В веб-интерфейсе KUMA создайте коннектор типа Kafka. При создании коннектора укажите следующие параметры: \- В поле **URL** укажите **<IP-адрес сервера Central Node>:10000** \- В поле **Topic** укажите **EndpointEnrichedEventsTopic**. \- В поле **Consumer** group укажите любое уникальное имя. 3\. В веб-интерфейсе KUMA создайте коллектор. 4\. На шаге **Транспорт** укажите коннектор, созданный на шаге 2. 5\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**. 6\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 7\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 8\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Случай с несколькими серверами KEDR При наличии двух серверов EDR брокер на обоих узлах в метаданных передает одно и то же имя centralnode. Таким образом, выгрузка телеметрии через Кафку одновременно с двух разных узлов EDR становится невозможной, так как они просят клиента обращаться по одному и тому же некорректному адресу [http://centralnode:10000](http://centralnode:10000). Для решения проблемы: 1\. на одной CN выгрузим параметры, с которым контейнер стартует: ```bash console-settings-updater get /kata/configuration/product/kafka | python3 -m json.tool > /tmp/kafka.conf ``` 2\. Откроем в редакторе файл: `vim kafka.conf` и исправляем строку `"external_address": "kafka.services.external.dyn.kata"` на `"external_address": "kafka2.services.external.dyn.kata"` 3\. Загружаем файл обратно в контейнер: ```bash console-settings-updater set /kata/configuration/product/kafka @/tmp/kafka.conf ``` # KEDR 5.1+ (Телеметрия EDR по API)

**✔️ Рекомендуется** - Рекомендуемый способ сбора для этого источника событий

Данная инструкция предназначена для версии KUMA с 3.0.2+, а также версий KATA 5.1+

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm](https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm)

### Создание секрета Для подключения KEDR со стороны KUMA по API необходимо создать секрет для аутентификации. Для этого выполните следующие действия: 1\. В веб-интерфейсе KUMA перейдите на вкладку **Ресурсы → Секреты** и нажмите на кнопку **Добавить**. 2\. Укажите **Имя** секрета, выберите **Тенант**, к которому будет относиться создаваемый секрет. 3\. Нажмите **Сгенерировать и скачать сертификат и закрытый ключ шифрования соединения**, после чего произойдет скачивание архива. 4\. Распакуйте архив. Внутри будут файл сертификата и файл закрытого ключа. 5\. Укажите **Файл сертификата** и **Закрытый ключ** в соответствии с рисунком: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/Tc3image.png) 6\. Сохраните секрет --- ### Настройка коллектора После того как был создан секрет, требуется создать коллектор в веб-интерфейсе KUMA для событий KEDR. 1\. На шаге **Транспорт** укажите тип **kata/kedr** и **URL** в формате <IP-адрес или FQDN CN KATA>:<порт, по умолчанию 443>), в поле **Секрет** укажите ранее созданный секрет. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/8RZimage.png) 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KEDR telemetry**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: \- **Хранилище**. Для отправки обработанных событий в хранилище. \- **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA.

В **Дополнительных параметрах** транспорта параметр **Время ожидания получения событий** означает время, за которое KATA собирает события для отправки.

--- ### Настройка KATA Для настройки сбора событий телеметрии из KATA в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль центрального узла Kaspersky Anti Targeted Attack из-под учетной записи Администратора, предварительно отметив параметр **Local administrator** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/J4eimage.png) 2\. Перейти в раздел **External systems** и нажать **Accept** (для дальнейшего удобства вы можете изменить содержимое поля **Name,** например, на KUMA). Также следует проверить, что значение в поле **ID** совпадает со значением поля **Внешний ID** в настройках транспорта коллектора KUMA. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/pNpimage.png) --- ### Полезные ссылки Подробные сведения о получении событий от Kaspersky Endpoint Detection and Response: [https://support.kaspersky.com/KATA/5.1/ru-RU/248949.htm](https://support.kaspersky.com/KATA/5.1/ru-RU/248949.htm) Импорт событий Kaspersky Endpoint Detection and Response с помощью коннектора kata/edr: [https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm](https://support.kaspersky.com/help/KUMA/3.0.2/ru-RU/261000.htm) # KICS 3.1 и ниже

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Данная инструкция предназначена строго для версии KICS for Networks **3.1 или ниже**. Инструкция для версии 4.0 и выше находится в соответствующем разделе базы знаний.

### Настройка KICS for Networks Для настройки пересылки событий из KICS4Net в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль KICS for Networks из-под учетной записи Администратора 2\. Перейти в раздел **Параметры** – **Коннекторы** и настроить параметры отправки событий в KUMA SIEM: **Тип коннектора**: SIEM; **Имя коннектора**: произвольное название, например, *KUMA;* **Адрес сервера**: IP-адрес MGMT интерфейса сервера KICS for Networks; **Адрес узла коннектора**: IP-адрес узла, на котором Вы устанавливаете коннектор (Если используется коннектор, располагаемый на сервере KICS for Networks, то указывается IP адрес MGMT интерфейса сервера. Если пакет с коннектором будет установлен на другом узле, то необходимо указать IP адрес этого узла); **Пароль для доступа к сертификату коннектора**: пароль для архива с сертификатом сервера KICS for Networks, который будет сформирован после применения настроек коннектора; **Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA; **Номер порта**: порт коллектора KUMA; **Транспортный протокол**: TCP или UDP. [![kics1.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics1.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics1.png) 3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**. После сохранения настроек в списке коннекторов появится созданный коннектор. Для KICS for Networks 3.1 и ниже автоматически загрузится файл свертки с сертификатом сервера KICS for Networks, который необходимо перенести на узел, где установлен коннектор. Вновь созданный коннектор перейдет в режим **Ожидание регистрации** до того момента, как вы создадите службу на узле, где установлен коннектор. [![kics2.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics2.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics2.png) 4\. Для создании службы необходимо на узле, где установлен коннектор, перейти в раздел `/opt/kaspersky/kics4net-connectors/sbin` ```bash cd /opt/kaspersky/kics4net-connectors/sbin ``` и запустить скрипт `registrar.py` ```bash python3 registrar.py create ``` Далее потребуется указать имя коннектора, имя архива с файлом свертки и пароль к архиву файла свертки, подтвердить запуск службы после ее создания. [![kics3.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics3.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics3.png) В результате в интерфейсе KICS for Networks созданный коннектор перейдет в состояние **Зарегистрирован**. [![kics4.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics4.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics4.png) --- ### Настройка отправки событий

По умолчанию события безопасности KICS for Networks не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.

Для настройки отправки событий необходимо: 1\. Перейти на вкладку **Параметры** – **Типы событий** 2\. Выбрать один или несколько типов событий, которые необходимо передавать 3\. Нажать на кнопку **Выбрать коннекторы** 4\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события 5\. Подтвердить выбор нажатием кнопки **ОК** [![kics5.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics5.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics5.png) После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора [![kics6.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics6.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics6.png) --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KICS for Networks. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KICS for Networks. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] KICS4Net v3.х**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка создания коннектора KICS for Networks (онлайн-справка KICS for Networks): [https://support.kaspersky.com/help/KICSforNetworks/3.1/ru-RU/136497.htm](https://support.kaspersky.com/help/KICSforNetworks/3.1/ru-RU/136497.htm) # KICS 4.0 и выше

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Данная инструкция предназначена строго для версии KICS for Networks **4.0 или ниже**. Инструкция для версии 3.1 и ниже находится в соответствующем разделе базы знаний.

### Настройка KICS for Networks Для настройки пересылки событий из KICS for Networks в SIEM KUMA необходимо выполнить следующие действия: 1\. Перейти в веб-консоль KICS for Networks из-под учетной записи Администратора 2\. Перейти в раздел **Параметры** – **Коннекторы** и настроить параметры отправки событий в KUMA SIEM: **Тип коннектора**: SIEM; **Имя коннектора**: произвольное название, например, *KUMA;* **Адрес сервера**: IP-адрес MGMT интерфейса сервера KICS for Networks; **Адрес узла коннектора**: IP-адрес узла, на котором Вы устанавливаете коннектор (Если используется коннектор, располагаемый на сервере KICS for Networks, то указывается IP адрес MGMT интерфейса сервера. Если пакет с коннектором будет установлен на другом узле, то необходимо указать IP адрес этого узла); **Пароль для доступа к сертификату коннектора**: пароль для архива с сертификатом сервера KICS for Networks, который будет сформирован после применения настроек коннектора; **Адрес SIEM сервера**: IP-адрес сервера коллектора KUMA; **Номер порта**: порт коллектора KUMA; **Транспортный протокол**: TCP или UDP. [![kics1.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics1.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics1.png) 3\. По завершении заполнения необходимых полей нажать кнопку **Сохранить**. Начиная с версии 4.0 коннектор автоматически осуществит регистрацию в продукте. В результате в интерфейсе KICS for Networks созданный коннектор перейдет в состояние **Зарегистрирован**. [![kics4.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics4.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics4.png) --- ### Настройка отправки событий

По умолчанию события безопасности KICS for Networks не передаются ни в какие смежные системы, о чем свидетельствует колонка **Тип события** - **Не отправляются**. Поэтому, чтобы события безопасности передавать в другие системы необходимо определить перечень таких событий для каждой системы, для который мы настроили коннектор.

Для настройки отправки событий необходимо: 1\. Перейти на вкладку **Параметры** – **Типы событий** 2\. Выбрать один или несколько типов событий, которые необходимо передавать 3\. Нажать на кнопку **Выбрать коннекторы** 4\. Установить флаг напротив тех систем, в которые необходимо предавать выбранные события 5\. Подтвердить выбор нажатием кнопки **ОК** [![kics5.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics5.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics5.png) После завершения настроек добавленные события будут отмечены флагом в колонке соответствующего коннектора [![kics6.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kics6.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kics6.png) --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий KICS for Networks. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне KICS for Networks. 2\. На шаге **Парсинг** событий выберите соответствующий нормализатор. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка создания коннектора KICS for Networks (онлайн-справка KICS for Networks): [https://support.kaspersky.com/help/KICSforNetworks/4.0/ru-RU/136497.htm](https://support.kaspersky.com/help/KICSforNetworks/4.0/ru-RU/136497.htm) # Microsoft Подключение источников производителя Microsoft # MS DNS

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Для KUMA 3.2 добавился новый способ сбора DNS логов в формате ETW. Подробнее в статье: [https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ms-etw-dns-analytics-kuma-32](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ms-etw-dns-analytics)

### Настройка DNS сервера Передача событий из MS DNS в KUMA осуществляется путем чтения лог файла DNS. По умолчанию запись событий в файл на DNS сервере выключена. Чтобы включить логирование событий DNS в файл необходимо для начала создать папку, в которую будут записываться файлы событий DNS. Например, `C:\dns`. После создания папки необходимо разрешить общий доступ на чтение к этой папке. Рекомендуется создать отдельного пользователя для этой операции. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/y0limage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/y0limage.png) Далее необходимо запустить оснастку **DNS Manager**, выбрать нужный DNS сервер и перейти в свойства. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/puMimage.png) В свойствах сервера необходимо перейти на вкладку **Debug Logging**, включить расширенное логирование и задать путь к файлу, в который будут записывать слоги DNS сервера. Размер лог файла рекомендуется 50 Мб. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/3dwimage.png) --- ### Монтирование папки в KUMA Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи DNS сервера на сервер коллектора KUMA. Для начала необходимо установить утилиту **cifs**, если она еще не установлена. ``` yum install -y cifs-utils ``` Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке `/root/.dns-secret` со следующим содержимым: ```bash username=<имя пользователя с правами на чтение папки> password=<пароль пользователя> domain=<домен, в случае доменного пользователя> ``` Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера. ``` mkdir /mnt/dns ``` Далее в конец файла **/etc/fstab** необходимо добавить строку ```bash \\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными>,cache=none 0 0 ``` Пример: ```bash \\dc-01.sales.lab\dns /mnt/dns cifs credentials=/root/.dns-secret,cache=none 0 0 ``` Далее необходимо примонтировать общую папку командой: ```bash mount -a ``` Для проверки успешности монтирования можно выполнить следующую команду: ```bash ls /mnt/dns ``` В выводе консоли должен присутствовать файл логов DNS сервера с правами на чтение для всех пользователей [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kc2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kc2image.png) --- ### Создание коллектора KUMA Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий. На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя** коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/meWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/meWimage.png) На втором шаге мастера необходимо выбрать тип подключения file и указать **папку** сервера коллектора, куда примонтирована папка с логами DNS сервера. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IWbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IWbimage.png) На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] DNS Windows**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Zmpimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Zmpimage.png) Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению. На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/FtKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/FtKimage.png) На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/SL0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/SL0image.png) В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/T8Fimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/T8Fimage.png) --- ### Установка коллектора KUMA Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA. Для установки сервиса коллектора необходимо выполнить скопированную команду. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/mG3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/mG3image.png) В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IaVimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IaVimage.png) Для проверки поступления событий выберите соответствующий коллектор (галочка слева) и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события DNS сервера. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/qpzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qpzimage.png) # MS DHCP

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка DHCP сервера Передача событий из MS DHCP в KUMA осуществляется путем чтения лог файлов DHCP. Откройте оснастку DHCP и убедитесь, что для DHCP сервера включено логирование. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/oVEimage.png) События DHCP сервера пишутся в папку `C:\Windows\system32\dhcp\`. Для данной папки необходимо включить общий доступ на чтение. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/bxEimage.png) После предоставления общего доступа у папки должен быть статус **Shared**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Bvjimage.png) --- ### Монтирование папки в KUMA Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи DHCP сервера на сервер коллектора KUMA. Для начала необходимо установить утилиту **cifs**, если она еще не установлена. ```bash yum install -y cifs-utils ``` Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке **/root/.dhcp-secret** со следующим содержимым: ```bash username=<имя пользователя с правами на чтение папки> password=<пароль пользователя> domain=<домен, в случае доменного пользователя> ``` Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера. ```bash mkdir /mnt/dhcp ``` Далее в конец файла `/etc/fstab` необходимо добавить строку ```bash \\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными> 0 0 ``` Пример: ```bash \\dc-01.sales.lab\dhcp /mnt/dhcp cifs credentials=/root/.dhcp-secret 0 0 ``` Далее необходимо примонтировать общую папку командой: ``` mount -a ``` Для проверки успешности монтирования можно выполнить следующую команду: ``` ls /mnt/dhcp ``` В выводе консоли должны присутствовать файлы логов DHCP сервера с правами на чтение для всех пользователей [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/yr9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yr9image.png) --- ### Создание коллектора KUMA Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий. На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя коллектора**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/0uiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/0uiimage.png) На втором шаге мастера необходимо выбрать тип подключения **file** и указать **маску пути** для файлов логов DHCP сервера. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/ZJlimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/ZJlimage.png) Поддерживаемые маски: - `*` – соответствует любой последовательности символов; - `[' [ '^' ] { диапазон символов } ']` – класс символов (не должен быть пустым); - `?` – соответствует любому одиночному символу. Диапазоны символов: - `[0-9]` – числа; - `[a-zA-Z]` – буквы латинского алфавита. Примеры: - `/var/log/*som?[1-9].log` - `/mnt/dns_logs/*/dns.log` - `/mnt/proxy/access*.log` На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] MS DHCP file**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/HUwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/HUwimage.png) Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению. На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vf2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vf2image.png) На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EVwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EVwimage.png) В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Sa0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Sa0image.png) --- ### Установка коллектора KUMA Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA. Для установки сервиса коллектора необходимо выполнить скопированную команду. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/pHQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/pHQimage.png) В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/p6Kimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/p6Kimage.png) Для проверки поступления событий выберите соответствующий коллектор (галочка слева) и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события DHCP сервера. # MS WMI

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### ### Схема работы сбора по WMI ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-02/scaled-1680-/POAimage.png) ### Настройка аудита отдельного сервера Для настройки аудита на рядовом сервере/рабочей станции необходимо: Запустить оснастку **Local Security Policy - secpol.msc** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/ktWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/ktWimage.png) Перейти в раздел Параметры безопасности/Локальные политики/Политика аудита и включить необходимые настройки аудита успешных и не успешных попыток. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/zhIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/zhIimage.png) В общем случае, необходимо включить следующие параметры аудита
Аудит входа в системуУспех, Отказ;
Аудит изменения политикиУспех, Отказ;
Аудит системных событийУспех, Отказ;
Аудит событий схода в системуУспех, Отказ;
Аудит управления учетными записямиУспех, Отказ;

Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)

--- ### Настройка аудита при помощи групповой политики Для централизованной настройки аудита при помощи групповых политик домена, необходимо запустить оснастку **Group Policy Management**, выбрать нужную политику и перейти к редактированию – запустится **Group Policy Management Editor**. На примере, представленном ниже, настройка аудита выполняется в рамках **Default Domain Policy**: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/TyVimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/TyVimage.png) В случае, если предполагается сбор журналов Windows c большого количества серверов, или если установка агентов на контроллеры домена не допускается, рекомендуется использовать перенаправление журналов на отдельные серверы с настроенной службой Windows Event Collector.

Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)

--- ### Настройка сервера - источника событий На сервере – источнике событий должны быть запущены следующие сервисы: - Remote Procedure Call (RPC); - RPC Endpoint Mapper. Обозначенные выше сервисы могут быть запущены из оснастки **Службы** в Windows. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/mi1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/mi1image.png) Также на сервере источнике событий должны быть открыты порты TCP: 135, 445, 5985, 49152-65535. Открыть данные порты для входящих подключений можно с помощью оснастки **Брандмауэра защитника Windows в режиме повышенной безопасности**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eYximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eYximage.png) Для проверки доступности целевых серверов – источников событий с компьютера, на котором планируется установка wmi-агента можно выполнить следующую команду из PowerShell: ```powershell Get-WmiObject -Namespace "root\cimv2" -Class Win32_Process -Impersonation 3 -ComputerName ``` --- ### Проверка работы выполнения удаленных WMI запросов на источнике Выполните с хоста, где планируется к установке KUMA Agent следующую команду в PowerShell для проверки работы WinRM на удаленой машине: ```powershell Test-WSMan -ComputerName <Имя компьютера или IP> ``` При успешной проверке получим следующий результат: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Llcimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Llcimage.png) Для проверки доступа к журналам по WMI, можно выполнить следующую команду (не обязательно дожидаться конца выполнения запроса, если будет ошибка она сразу появится): ```powershell $strComputer = "dc-01.sales.lab"     $colLogFiles = Get-WmiObject -Class Win32_NTEventLogFile -ComputerName $strComputer | Where-Object {$_.LogFileName -eq 'security'}     foreach ($objLogFile in $colLogFiles)      {          "Record Number: " + $objLogFile.NumberOfRecords         "Maximum Size: " + $objLogFile.MaxFileSize } ``` --- ### Создание коллектора KUMA Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы – Коллекторы** и нажмите на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** нажать на кнопку на кнопку **Подключить источник событий**. После выполнения указанных действий откроется соответствующий мастер. На первом шаге необходимо выбрать **Имя** коллектора и **Тенант**, к которому он будет принадлежать. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Mukimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Mukimage.png) На втором шаге мастера необходимо выбрать транспорт. В данном случае рекомендуется использовать **http**. В поле URL необходимо указать порт, на котором коллектор будет ожидать соединение от агента. В качестве разделителя необходимо указать **\\0**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Gqaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Gqaimage.png) На вкладке **Дополнительные параметры** для шифрованной передачи данных между агентом и коллектором необходимо выбрать **Режим TLS - С верификацией**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/D6himage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/D6himage.png) На третьем шаге мастера необходимо указать нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows **\[OOTB\] Windows Extended v.0.3**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vcfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vcfimage.png) Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее. На седьмом шаге мастера необходимо указать точки назначения. Для хранения событий необходимо добавить точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям необходимо добавить точку назначения типа **Коррелятор**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eFDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eFDimage.png) На завершающем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/JFfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/JFfimage.png) Также после выполнения указанных действий на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/HZ6image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/HZ6image.png) --- ### Установка коллектора KUMA Для установки сервиса коллектора необходимо из командной строки выполнить команду, скопированную на прошлом шаге. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GBBimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GBBimage.png) Также необходимо добавить порт коллектора в исключения фаервола и обновить параметры службы ```bash firewall-cmd --add-port=5544/tcp --permanent firewall-cmd --reload ``` После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Eq9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Eq9image.png) --- ### Создание агента KUMA Для создания агента в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы – Агенты** и нажмите на кнопку Добавить агент. В открывшейся вкладке Общие параметры необходимо выбрать **Имя** агента и **Тенант**, к которому он будет принадлежать. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Gptimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Gptimage.png) На вкладке **Подключение 1** в параметрах коннектора необходимо задать тип **wmi**. Для пункта Удаленные хосты необходимо задать параметры подключения к удаленным хостам со следующими ограничениями: - имя хоста должно содержать полный **FQDN** хоста или **ip-адрес**; - домен хоста должен содержать **домен** хоста или, в случае отсутствия домена **FQDN** или **ip-адрес** хоста; - тип журналов задается в соответствии с требованиями к логированию; - в поле секрет необходимо выбрать или создать новый секрет типа **credentials** с указанием **логина и пароля**, при этом логин необходимо задавать **без доменной части (user – правильно, domain\\user – неправильно, user@domain -–неправильно)**. Учетная запись заданная в параметрах доступа к хосту должна быть членом группы читателей журнала событий (подробнее см. **Приложение А**). Указывать и использовать для настройки подключения к хостам **учетную запись по умолчанию (Default credentials) не рекомендуется**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/C7Iimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/C7Iimage.png)

Указываем IP в полях Хост и Домен в случае, если используется локальная УЗ на системе для собора логов, иначе имя хоста и его домен. В параметрах Секрет НЕ указывайте домен, достаточно использовать логин и пароль.

В общих параметрах точки назначения необходимо указать тип **http** (должен совпадать с настройками коллектора). URL нужно указать в формате **fqdn:port** (FQDN коллектора и порт, должны совпадать с настройками коллектора). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/q31image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/q31image.png) **Для версии 3.0+ параметр State (Состояние) должен быть включен:** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/scaled-1680-/cxFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-11/cxFimage.png) В дополнительных параметрах необходимо указать **Режим TLS С верификацией**, если требуется шифровать соединение между коллектором и агентом (настройка должна совпадать с соответствующей на стороне коллектора). Разделитель необходимо указать **\\0** (должен совпадать с настройками коллектора). Также на изображении ниже приведены дополнительные параметры и их рекомендуемые значения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/USDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/USDimage.png) После указания всех параметров необходимо сохранить созданный ресурс агента. --- ### Публикация агента KUMA В разделе **Ресурсы – Активные сервисы** необходимо опубликовать созданную конфигурацию KUMA Windows Agent. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/xl0image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/xl0image.png) После публикации сервиса необходимо скопировать id данного сервиса для последующей установки на компьютере под управлением Windows. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/jZKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/jZKimage.png) --- ### Установка агента KUMA Выполняется на сервере Windows, журналы которого необходимо направить в KUMA. Предварительно FQDN KUMA должен быть добавлен в файл **hosts** на целевой машине, либо добавлен в DNS-зону организации. - в файловой системе сервера рекомендуется создать папку `C:\Users\<имя пользователя>\Desktop\KUMA` - скопировать в нее бинарный файл kuma.exe Файл **kuma.exe** находится в архиве пакетов установки KUMA [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Ooeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Ooeimage.png) - запустить командную строку с правами администратора - примите лицензионное соглашение: `C:\Users\<имя пользователя>\Desktop\KUMA\kuma.exe license` - перейти в папку `C:\Users\<имя пользователя>\Desktop\KUMA` - назначить учетной записи пользователя, от имени которой будет запускаться агент права входа в качестве службы (см. [**Приложение Б**](https://kb.kuma-community.ru/books/sablony/page/ms-wec#bkmrk-%E2%80%83%D0%9F%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5-%D0%91.-%D0%9D%D0%B0%D0%B7%D0%BD%D0%B0)) и права на чтение журнала событий (см. [**Приложение А**](https://kb.kuma-community.ru/books/sablony/page/ms-wec#bkmrk-%E2%80%83%D0%9F%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D0%B5-%D0%90.-%D0%9D%D0%B0%D0%B7%D0%BD%D0%B0)). - запустить установку агента командой: ```powershell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://:7210 --id –-user --install ``` [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/I6uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/I6uimage.png) В результате, в ОС установится сервис **KUMA Windows Agent <Windows Agent ID>** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/qCaimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/qCaimage.png) Если статус агента веб-интерфейсе KUMA отображается как **red**, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector. Для удаления сервиса агента по окончанию тестирования продукта из ОС можно посредством следующей команды: ```powershell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id --uninstall ``` --- ### Приложение А. Назначение прав читателя журнала событий Предоставить права читателя журнала событий в рамках домена можно при помощи оснастки **Active Directory Users and Computers** домена, добавив соответствующую учетную запись пользователя или компьютера в встроенную группу **Event Log Readers**: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/SAZimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/SAZimage.png) Для отдельного компьютера необходимо перейти в оснастку **Управление компьютером**, выбрать пункт **Локальные пользователи и группы**, перейти на вкладку **Группы**, выбрать группу **Event Log Readers** и добавить в нее соответствующую учетную запись пользователя или компьютера: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/urzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/urzimage.png) --- ### Приложение Б. Назначение прав входа в качестве службы Для назначения прав входа в качестве службы для компьютеров домена необходимо открыть оснастку Group Policy Management, выбрать необходимую политику (в данном примере это Default Domain Policy) и нажать на кнопку редактирования политики. В открывшемся окне необходимо перейти по пути **Computer Configuration – Windows Settings – Security Settings – Local Policies – User Rights Assignment** и в свойства **Log on as service** добавить соответствующую учетную запись пользователя. Дополнительно, необходимо убедиться, что соответствующая учетная запись отсутствует в свойствах **Deny log on as service**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7fCimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/7fCimage.png) После сохранения настроек для их применения на целевом компьютере необходимо из командной строки, запущенной от имени администратора выполнить команду: `gpupdate /Force` Права входа в качестве службы можно настроить локально для отдельного компьютера с помощью оснастки **Local Security Policy**. Для этого необходимо выбрать пункт **Local Policies**, перейти на вкладку **User Rights Assignment** и в свойства **Log on as service** добавить соответствующую учетную запись пользователя. Дополнительно, необходимо убедиться, что соответствующая учетная запись отсутствует в свойствах **Deny log on as service**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/yWhimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/yWhimage.png) # MS WEC Настройка сбора событий с устройств Windows при помощи Агента KUMA (WEC).

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/248413.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/248413.htm)

### ### Схема работы сбора с WEC (Windows Event Collector) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-02/scaled-1680-/Fkfimage.png) ### Рекомендации для сервера WEC
- Рекомендациям Microsoft по мощностям WEC сервера (4-8 CPU 16 GB) - [https://docs.microsoft.com/en-us/troubleshoot/windows-server/admin-development/configure-eventlog-forwarding-performance](https://docs.microsoft.com/en-us/troubleshoot/windows-server/admin-development/configure-eventlog-forwarding-performance) - Рекомендация использовать до 1500 станций на один сервер (максимум по указанным выше мощностям 4000 машин) - на котроллеры домена не надо ставить ничего лишнего - события с контроллеров домена необходимо собирать с использованием механизмов, рекомендуемых MS. В данном случае это будут серверы WEC
### Отказоустойчивый сбор событий с WEC
- на котроллеры домена не надо ставить ничего лишнего - события с контроллеров домена необходимо собирать с использованием механизмов, рекомендуемых MS. В данном случае это будут серверы WEC
В одной инсталляции, события на контроллерах домена хранятся очень мало – ротация примерно через 3-5 минут. Поэтому чтобы гарантировать доставку, если по какой-то причине WEС не доступен, предлагается следующая схема:
- использовать 2 WEC сервера - все DC отправляют события не на один, а на 2 WEC сервера (события обоих WEC дублируются) - на каждом WEC сервере установлены KUMA Agent - оба KUMA Agent отправляют события в ОДИН и тот же коллектор Windows (это важный момент) - на коллекторе Windows настраивается агрегация события, чтобы дубли событий с обоих WEC серверов были агрегированы в одно событий
С этим одним событием, прошедшее через такую сложную цепочку и работает KUMA. Это позволит выполнять обслуживание, перезагружать WEC коллекторы (но не одновременно), без потери потока данных с контролеров
### Описание схемы работы с Windows Event Collector Компоненты схемы: - Источники событий (рабочие станции/серверы). - Windows Event Collector сервер или WEC-сервер (сервер, с запущенной службой «Сборщик событий Windows». Данный сервер на основании создаваемых подписок на события получает события от источников и обеспечивает их локальное хранение. Взаимодействие между WEC-сервером и источниками событий осуществляется с использованием протокола удаленного управления Windows (WS-Management protocol). Для настройки доступно два типа подписок: - **Source-initiated subscriptions (Push)** — события отправляются источником. Источники настраиваются на отправку событий на WEC-сервер с помощью GPO. - **Collector-initiated subscriptions (Pull)** — события собираются WEC-сервером самостоятельно. WEC-сервер подключается к рабочим станциям/серверам и забирает события из локальных журналов. - Агент KUMA (компонент KUMA, устанавливаемый на WEC-сервер для отправки собранных событий с источников в коллектор KUMA). - Коллектор KUMA (компонент KUMA, обеспечивающий прием/нормализацию/агрегацию/фильтрацию событий, полученных от агента KUMA, и их дальнейшую отправку в коррелятор и/или хранилище KUMA). В данном примере мы рассмотрим вариант **Source-initiated subscriptions (режим** **Push) **ввиду того, что этот режим более предпочтителен из-за отсутствия необходимости настройки «прослушивания» входящих соединений службой WinRM на источниках событий. Также о Windows Event Collector можно почитать здесь: [https://learn.microsoft.com/en-us/windows/win32/wec/windows-event-collector](https://learn.microsoft.com/en-us/windows/win32/wec/windows-event-collector). ### Настройка политики аудита По умолчанию на устройствах Windows аудит событий не осуществляется. #### Настройка политики аудита на отдельной рабочей станции/сервере Запустите оснастку **Локальная политика безопасности** (нажмите кнопку **W****in** -> введите **secpol.msc** и запустите **Локальная политика безопасности** от имени администратора). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/xXQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/xXQimage.png) Перейдите в политику аудита (**Локальные политики** -> **Политика аудита**). Настройте параметры аудита согласно скриншоту (при необходимости включите аудит оставшихся политик). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Q5Rimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Q5Rimage.png)

Примеры рекомендованных политик можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)

#### Настройка политики аудита для группы рабочих станций/серверов средствами GPO При наличии опыта администрирования Windows инфраструктуры вы можете использовать наиболее привычный для Вас способ настройки. Ниже описан один из вариантов настройки. Создайте группу компьютеров средствами **«****Active Directory – пользователи и компьютеры». **Добавьте в данную группу рабочие станции/серверы, с которых предполагается сбор событий. Для того, чтобы изменения вступили в силу (в данном случае членство в новой группе), необходимо выполнить перезагрузку устройства. Альтернативным вариантом может быть перевыпуск Kerberos-тикетов для устройства с помощью klist.exe.

Если предполагается сбор событий с контроллера домена, в таком случае, контроллер домена **можно не добавлять в созданную группу компьютеров**, добавив отдельно в **Фильтр безопасности** при настройке GPO

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/boNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/boNimage.png) На контроллере домена запустите оснастку **Управление групповой политикой** (нажмите **Win + R** -> **gpmc.msc**). Выберите существующий объект групповой политики или создайте новый. В данном примере создается новый объект групповой политики **Audit Policy** **for KUMA** (правой кнопкой мыши **Объекты групповой политики** -> **Создать** -> введите в имени **Audit Policy for KUMA**). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ibsimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ibsimage.png) Далее выберите созданный объект групповой политики **Audit Policy** **for KUMA** и нажмите **Изменить.** В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** **-> Политики -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Политики аудита** и настройте параметры аудита согласно скриншоту (при необходимости включите аудит оставшихся политик). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/9Ouimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/9Ouimage.png) Далее вернитесь в **Управление групповой политикой** **-> **выберите объект групповой политики **Audit Policy** **for KUMA -> **в окне справа **Фильтры безопасности** удалите группу **Прошедшие проверку** и добавьте группу **KUMA WEC.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/kaSimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/kaSimage.png) Нажмите правой кнопкой мыши на домен и выберите **Связать существующий объект групповой политики** **-> **выберите **Audit Policy for KUMA** и нажмите **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/T1Limage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/T1Limage.png) Итоговый вид политики должен выглядеть следующим образом (см. скриншот). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/islimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/islimage.png) В целом, групповые политики Active Directory можно назначать на OU, сайт или весь домен. Для того, чтобы новые параметры аудита, заданные в GPO, были применены на рабочих станциях/серверах Windows необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях: - перезагрузка устройства и вход пользователя - автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени) - вручную с помощью команды gpupdate (на рабочей станции/сервере) - вручную из консоли Group Policy Management Console (на контроллере домена, только для OU) - вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена) Для проверки успешного применения GPO запустите оснастку **Локальная политика безопасности** на одной из рабочих станций/сервере (нажмите WIN + R -> введите secpol.msc и запустите **Локальная политика безопасности** от имени администратора) -> перейдите в политику аудита (**Локальные политики** > **Политика аудита**) -> убедитесь, что параметры аудита соответствуют скриншоту. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4egimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4egimage.png)

Примеры рекомендованных политик аудита можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib)

### Настройка WEC-сервера #### Настройка службы Windows Event Collector (WEC) Проверьте наличие запущенной службы WinRM на WEC-сервере с помощью следующей команды в PowerShell: ```powershell Test-WSMan ``` Вывод в случае если служба WinRM запущена: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gnIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gnIimage.png) Если появилось сообщение, что «Клиенту не удается подключиться к узлу назначения, указанному в запросе. Убедитесь, что служба на узле назначения работает и принимает запросы», запустите на WEC-сервере службу WinRM с помощью следующей команды в PowerShell: ```bash winrm qc ``` При применении команды согласиться с выполнением изменений. После включения службы WinRM WEC-сервер начнет «прослушивать» соединения на порт TCP/5985 от источников событий. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/mt1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/mt1image.png) Команда winrm qc одновременно включает Windows Remote Shell (WinRS) и разрешает принимать входящие соединения для удаленного управления через функционал WinRS. Отключить WinRS можно следующей командой: ```powershell winrm set winrm/config/Winrs ‘@{AllowRemoteShellAccess = "false"}’ winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ # проверка, что WinRS отключен ``` Включите на WEC-сервере службу сборщика событий Windows («Сборщик событий Windows») с помощью следующей команды в PowerShell: ```powershell wecutil qc ``` При включении службы сборщика событий Windows в Windows Firewall автоматически создается разрешающее правило для входящих соединений по TCP/5985. #### Настройка подписки на WEC-сервере Нажмите кнопку **Win**, введите **eventvwr.msc** и запустите **Просмотр событий** от имени администратора. Выберите **Подписки** **-> **правой кнопкой мыши **Создать подписку** -> Укажите имя подписки, например, KUMA WEC и тип подписки **Инициировано исходным компьютером.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/jVTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/jVTimage.png) Выберите группы компьютеров, события которых требуется собирать. В нашем примере – это KUMA WEC (**Выбрать группы компьютеров** -> **Добавить доменный компьютер** -> в поле **Введите имена выбираемых объектов** укажите ранее созданную группу компьютеров и нажмите **ОК**). В качестве альтернативы вместо группы компьютеров можно добавить необходимые рабочие станции/серверы по отдельности.

Если предполагается сбор событий с контроллера домена, в таком случае, контроллер домена **можно добавить как отдельный доменный компьютер**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/z1Simage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/z1Simage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Ppiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Ppiimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/czRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/czRimage.png) **Задайте собираемые события **(**Выбрать события** -> Настройте параметры, как на скриншоте ниже). В данном **примере** с источников собираются следующие события (Рекомендованные ID события можно найти [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib#bkmrk-windows)): 4624,4625,4662,4719,4720,4722,4724,4725,4726,4728,4729,4739,4740,4767,4768,4769,4771,5136. Нажмите **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/AyDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/AyDimage.png) Далее перейдите в **Дополнительно** и для параметра **Оптимизация доставки событий** укажите **Уменьшенная задержка**. Нажмите **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/G07image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/G07image.png)

В одну подписку можно добавить **не более 22** уникальных Event ID (кодов событий). Если указать больше, то на стороне источников событий (Журналы приложений и служб/Microsoft/Windows/Eventlog-ForwardingPlugin/Operational) появится ошибка **"Не удается создать подписку <Наименование подписки>. Код ошибки: 5004."**, при этом события от источников перестанут поступать на WEC-сервер. Поэтому, если стоит задача собирать большое количество разных типов событий, в таком случае **создайте несколько подписок**, в каждой из которых будет свой уникальный набор Event ID. Если в подписке не задан фильтр по Event ID, то есть используется значение по умолчанию **"<Все коды событий>"**, ограничение в 22 уникальных Event ID отсутствует и выполняется сбор всех журналируемых событий.

При наличии одинаковых Event ID в разных подписках, события будут дублироваться, как на WEC-сервере, так и в KUMA. Поэтому при создании нескольких подписок проверьте наличие дубликатов Event ID.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/iU4image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/iU4image.png) ### [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/TA1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/TA1image.png) ### Настройка WinRM и подписки на источниках событий #### Для отдельной рабочей станции/сервера ##### Настройка службы WinRM Проверьте наличие запущенной службы WinRM на рабочей станции/сервере с помощью следующей команды в PowerShell: ```powershell Test-WSMan ``` Вывод в случае, если служба WinRM запущена: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4Veimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4Veimage.png) Если появилось сообщение, что «Клиенту не удается подключиться к узлу назначения, указанному в запросе. Убедитесь, что служба на узле назначения работает и принимает запросы», запустите на рабочей станции/сервере службу WinRM с помощью следующей команды в PowerShell: ```powershell winrm qc ``` При применении команды согласиться с выполнением изменений, **кроме** «Служба WinRM не настроена на разрешение удаленного управления компьютером. Разрешите исключение брандмауэра WinRM». [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Qlyimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Qlyimage.png) После включения службы WinRM рабочая станция/сервер начнет «прослушивать» соединения на порт TCP/5985. Для отключения данного listener’а (т.к. рабочая станция/сервер инициирует соединение к WEC-серверу, выступая в качестве клиента) выполните следующую команду в PowerShell: ```powershell Remove-WSManInstance winrm/config/Listener -SelectorSet @{Address="*";Transport="http"} ``` Команда `winrm qc` одновременно включает Windows Remote Shell (WinRS) и разрешает принимать входящие соединения для удаленного управления через функционал WinRS. Отключить WinRS можно следующей командой: ```powershell winrm set winrm/config/Winrs ‘@{AllowRemoteShellAccess = "false"}’ winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ # проверка, что WinRS отключен ``` На источнике событий требуется предоставить доступ к журналам аудита службе WinRM путем включения встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20) в локальную группу BUILTIN \\ Event Log Readers («Читатели журнала событий»). Для этого нажмите кнопку Win -> введите **lusrmgr****.msc** и запустите **Локальные пользователи и группы** от имени администратора. В появившемся окне выберите перейдите в **Группы** **->** выберите группу **Читатели журнала событий** **-> **правой кнопкой мыши **Свойства** **-> Добавить** -> в **Размещение** выберите имя рабочей станции -> в поле **Введите имена выбираемых объектов** укажите **NETWORK SERVICE** -> **Проверить имена** -> как только УЗ будет найдена нажмите **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/3lvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/3lvimage.png)

Для сбора событий журнала Security с контроллера домена необходимо предоставить доступ к журналу встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20), из-под которой запускается сервис WinRM. Для этого на контроллере домена в PowerShell выполните следующую команду: wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'

##### Настройка подписки Нажмите кнопку Win -> введите **Политики** и запустите **Изменение групповой политики** от имени администратора. В появившемся окне перейдите в **Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Пересылка событий -> Настроить конечный диспетчер подписки.** Выберите **Включено** и нажмите **Показать**. В появившемся окне введите параметры WEC-сервера: `Server=http://<обязательно FQDN (не IP !!!) WEC-сервера>:5985/wsman/SubscriptionManager/WEC,Refresh=60` где 60 – частота обращения (в секундах) источников событий к WEC-серверу за новыми инструкциями по пересылке журналов.

Источники событий должны иметь возможность «резолвить» FQDN WEC-сервера для отправки событий. Для этого создайте A-запись на DNS-сервере или создайте запись локально в файле hosts

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eJiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eJiimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Hkeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Hkeimage.png) После применения данной настройки перезапустите службу WinRM c помощью PowerShell-команды: ```powershell Restart-Service -Name WinRM ``` #### Для группы рабочих станций/серверов средствами GPO ##### Настройка службы WinRM При наличии опыта администрирования Windows инфраструктуры вы можете использовать наиболее привычный для Вас способ настройки. Ниже описан один из вариантов. На контроллере домена запустите оснастку **Управление групповой политикой** (нажмите Win + R -> gpmc.msc). Выберите ранее использовавшийся объект групповой политики **Audit Policy** **for KUMA** и нажмите **Изменить.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/s6Iimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/s6Iimage.png) В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** **-> Конфигурация Windows -> Параметры безопасности -> Системные службы -> **в списке служб найдите «Служба удаленного управления Windows (WS-Management**-> Свойства ->** укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/TJLimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/TJLimage.png) Далее перейдите в **Конфигурация компьютера** **-> Настройка -> Параметры панели управления -> Службы -> **справа в окне нажмите **Создать** **-> Службы ->** укажите параметры согласно скриншоту ниже. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eZfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eZfimage.png) Перейдите во вкладку **Восстановление** и укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/JxRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/JxRimage.png) Перейдите в **Конфигурация компьютера** **-> Политики -> Административные шаблоны -> Компоненты Windows -> Удаленное управление Windows -> Служба удаленного управления Windows ->** выберите **Разрешить удаленное администрирование сервера средствами** **WinRM** и укажите параметры согласно скриншоту ниже. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/m4Qimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/m4Qimage.png) Перейдите в **Конфигурация компьютера** **-> Политики -> Административные шаблоны -> Компоненты Windows -> Удаленное оболочка Windows ->** выберите **Разрешить доступ к удаленной оболочке** и укажите параметры согласно скриншоту ниже. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/p2Zimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/p2Zimage.png) Также на источниках событий требуется предоставить доступ к журналам аудита службе WinRM путем включения встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20) в локальную группу BUILTIN \\ Event Log Readers («Читатели журнала событий»). Для этого выберите ранее использовавшийся объект групповой политики **Audit Policy** **for KUMA** и нажмите **Изменить.** В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера** **-> Настройка -> Параметры панели управления -> **нажмите правой кнопкой мыши на **Локальные пользователи и группы** **-> Создать -> Локальная группа. **В появившемся окне укажите параметры согласно скриншоту ниже. Нажмите **Применить** и **ОК**.

При добавлении члена локальной группы введите NETWORK SERVICE и нажмите ОК.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/FPMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/FPMimage.png) Для того, чтобы новые параметры групповой политики **Audit Policy** **for KUMA** были применены на рабочих станциях/серверах Windows необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях: - перезагрузка устройства и вход пользователя - автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени) - вручную с помощью команды gpupdate (на рабочей станции/сервере) - вручную из консоли Group Policy Management Console (на контроллере домена, только для GPO) - вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена) Проверьте наличие запущенной службы WinRM на одной из рабочих станций/сервере с помощью следующей команды в PowerShell: ```powershell Test-WSMan ``` Вывод в случае, если служба WinRM запущена: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DKKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DKKimage.png) Убедитесь, что WinRS отключен с помощью следующей команды: ```powershell winrm get winrm/config | findstr ‘AllowRemoteShellAccess’ ``` [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/Qvbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/Qvbimage.png) Убедитесь, что порт TCP/5985 не «прослушивается» (т.к. рабочая станция/сервер инициирует соединение к WEC-серверу, выступая в качестве клиента): ```shell netstat -aon -p TCP # выполнить в cmd ```

Для сбора событий журнала Security с контроллера домена необходимо предоставить доступ к журналу встроенной учетной записи NT AUTHORITY \\ NETWORK SERVICE (SID S-1-5-20), из-под которой запускается сервис WinRM. Для этого на контроллере домена в PowerShell выполните следующую команду: wevtutil sl security /ca:'O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)'

##### Настройка подписки Выберите ранее использовавшийся объект групповой политики **Audit Policy** **for KUMA** и нажмите **Изменить.** В открывшемся **Редакторе управления групповыми политиками** перейдите в **Конфигурация компьютера -> Политики -> Административные шаблоны -> Компоненты Windows -> Пересылка событий -> Настроить конечный диспетчер подписки.** Выберите **Включено** и нажмите **Показать**. В появившемся окне введите параметры WEC-сервера: `Server=http://<обязательно ``FQDN сервера-коллектора>:5985/wsman/SubscriptionManager/WEC,Refresh=60` где 60 – частота обращения (в секундах) источников событий к серверу за новыми инструкциями по пересылке журналов.

Источники событий должны иметь возможность «резолвить» FQDN WEC-сервера для отправки событий. Для этого создайте A-запись на DNS-сервере или создайте запись локально в файле hosts

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/NVcimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/NVcimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/KYsimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/KYsimage.png) Для того, чтобы новые параметры групповой политики **Audit Policy** **for KUMA** были применены на рабочих станциях/серверах Windows необходимо выполнить обновление групповых политик. Настройки групповых политик обновляются в следующих случаях: - перезагрузка устройства и вход пользователя - автоматически в фоновом режиме раз в 90 минут (+ случайное смещение времени) - вручную с помощью команды gpupdate (на рабочей станции/сервере) - вручную из консоли Group Policy Management Console (на контроллере домена, только для OU) - вручную с помощью командлета Invoke-GPUpdate Powershell (на контроллере домена) ### Проверка поступления событий Убедитесь, что на WEC-сервер поступают события с рабочих станций/серверов. Для этого нажмите кнопку **Win**, введите **eventvwr.msc** и запустите **Просмотр событий** от имени администратора. Перейдите в **Журналы** **Windows -> Перенаправленные события. **Если в появившемся окне **Перенаправленные события** отображаются события с источников, значит подписка работает корректно. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/YXQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/YXQimage.png)

Для MS Server 2016 и 2019 в случае если события не пересылаются, выполнить шаги по **[этой инструкции](https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/admin-development/events-not-forwarded-by-windows-server-collector)**. При добавлении разрешения для URL-адреса с помощью **netsh http add urlacl** добавьте кавычки "..." в параметре SDDL: `netsh http delete urlacl url=http://+:5985/wsman/netsh http add urlacl url=http://+:5985/wsman/ sddl="D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-2996563517)"netsh http delete urlacl url=https://+:5986/wsman/netsh http add urlacl url=https://+:5986/wsman/ sddl="D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-2996563517)"`

В случае если определенный лог не отправляется от источника проверьте на нем в журнале `Microsoft/windows/event_forwardingPlugin/Operational` события с кодом 5004 (ошибка отправки логов в wec сервер), если там есть такие события, то выполните рекомендации по этой статье: [https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/system-management-components/security-event-log-forwarding-fails-error-0x138c-5004](https://learn.microsoft.com/ru-ru/troubleshoot/windows-server/system-management-components/security-event-log-forwarding-fails-error-0x138c-5004) --- ### Настройка коллектора и агента KUMA #### Создание коллектора KUMA Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** **->** **Коллекторы** и нажмите на кнопку **Добавить коллектор.** Также можно на вкладке **Ресурсы** нажать на кнопку **Подключить источник событий**. После выполнения вышеуказанных действий откроется мастер настройки. На первом шаге выберите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/KuYimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/KuYimage.png) На втором шаге мастера укажите транспорт. В данном случае рекомендуется использовать http. В поле URL задайте FQDN/порт (выбирается любой из незанятых), на котором коллектор будет ожидать соединение от агента. В качестве разделителя укажите \\0.

\*можно указать только порт при инсталляции All-in-one.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ts2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ts2image.png) На вкладке **Дополнительные параметры** для шифрованной передачи данных между агентом и коллектором выберите **Режим TLS - С верификацией**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/jwiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/jwiimage.png) На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows актуальный для версии 3.2 - **\[OOTB\] Microsoft Products for KUMA 3.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/U4Mimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/U4Mimage.png) Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее. На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/lqpimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/lqpimage.png) На завершающем шаге мастера нажмите на кнопку **Создать и сохранить сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/boQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/boQimage.png) Также после выполнения вышеуказанных действий на вкладке **Ресурсы** **->** **Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/itPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/itPimage.png) #### Установка коллектора KUMA Выполните подключение к CLI KUMA (установка коллектора выполняется с правами root). Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gH5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gH5image.png) При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы. ```shell firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent firewall-cmd --reload ``` После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DETimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DETimage.png) #### Создание агента KUMA Для создания агента в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** **->** **Агенты** и нажмите на кнопку **Добавить агент**. В открывшейся вкладке **Общие параметры** укажите **Имя агента** и **Тенант**, к которому он будет принадлежать. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/nTkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/nTkimage.png) На вкладке **Подключение 1** в параметрах коннектора задайте имя коннектора, тип wec и выберите из выпадающего списка журналы Windows типа ForwardedEvents. Также можно в ручном режиме задать дополнительные журналы Windows. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/ygSimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/ygSimage.png) В секции **Точки назначения** укажите имя точки назначения, тип **http **(должен совпадать с настройками коллектора). Задайте URL в формате **fqdn:port** (FQDN коллектора и порт, должны совпадать с настройками коллектора). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/DnHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/DnHimage.png) В дополнительных параметрах укажите **Режим TLS С верификацией**, если требуется шифровать соединение между коллектором и агентом (настройка должна совпадать с соответствующей на стороне коллектора). Укажите разделитель **\\0** (должен совпадать с настройками коллектора). Также на изображении ниже приведены дополнительные параметры и их рекомендуемые значения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/eSkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/eSkimage.png) После настройки дополнительных параметров сохраните созданный ресурс агента. #### Публикация агента KUMA В разделе **Ресурсы** -> **Активные сервисы** опубликуйте созданную конфигурацию KUMA Windows Agent. Для этого нажмите **Создать сервис** -> выберите созданный сервис агента Windows WEC Agent и нажмите **Создать сервис.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/8kHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/8kHimage.png) После публикации сервиса скопируйте id данного сервиса для последующей установки на WEC-сервере. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/7Srimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/7Srimage.png) ### Установка агента KUMA #### Создание сервисной учетной записи Для функционирования агента KUMA необходимо создать доменную сервисную учетную запись, с помощью которой будет выполняться запуск агента KUMA и обеспечиваться доступ к журналам событий, полученных от источников (рабочих станций/серверов). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/1PTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/1PTimage.png) #### Добавление сервисной учетной записи в группу "Читатели журнала событий" На WEC-сервере добавьте созданную сервисную учетную запись в локальную группу **Читатели журнала событий**. Для этого нажмите кнопку **Win**, введите **lusrmgr.msc** и запустите **Локальные пользователи и группы** от имени администратора. В появившемся окне выберите перейдите в **Группы** **->** выберите группу **Читатели журнала событий** **-> **правой кнопкой мыши **Свойства** **-> Добавить** -> в поле **Введите имена выбираемых объектов** укажите **<имя сервисной учетной записи>** -> **Проверить имена** -> как только УЗ будет найдена нажмите **ОК**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/PSkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/PSkimage.png) #### Назначение прав входа в качестве службы На WEC-сервере разрешите сервисной учетной записи вход в качестве службы. Для этого нажмите кнопку **Win**, введите **secpol.msc** и запустите **Локальная политика безопасности** от имени администратора. В появившемся окне выберите перейдите в **Локальные политики** **->** **Назначение прав пользователя**** -> **Выберите политику **Вход в качестве службы** -> правой кнопкой мыши **Свойства** -> **Добавить пользователя или группу** -> в поле **Введите имена выбираемых объектов** укажите <имя сервисной учетной записи> -> **Проверить имена** -> как только УЗ будет найдена нажмите **ОК**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/QhAimage.png) Дополнительно убедитесь, что соответствующая сервисная учетная запись отсутствует в свойствах политики **Отказать во входе в качестве службы.** #### Установка агента KUMA Выполняется на WEC-сервере, который обеспечивает прием событий от источников (рабочих станций/серверов). Предварительно FQDN Core KUMA должен быть добавлен в файл hosts на WEC-сервере, либо добавлен на DNS-сервере. На WEC-сервере рекомендуется создать папку **C:\\Users\\<имя пользователя>\\Desktop\\KUMA.** Далее скопируйте в данную папку исполняемый файл **kuma.exe.** Файл **kuma.exe **находится в архиве пакетов установки KUMA. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/iyiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/iyiimage.png) Для установки агента KUMA запустите командную строку с правами администратора. Примите лицензионное соглашение: `C:\Users\<имя пользователя>\Desktop\KUMA\kuma.exe license` Перейдите в папку **C:\\Users\\<имя пользователя>\\Desktop\\KUMA** Запустите установку агента командой: ```shell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://:7210 --id –-user <Имя сервисной доменной УЗ> --install ```

Если агент устанавливается из-под доменной учетной записи пользователь указывается в формате <домен>\\<имя учетной записи>, например, demo\\user

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/2Grimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/2Grimage.png) Во время установки сервиса система запросит пароль. Введите пароль сервисной доменной учетной записи. В результате, на WEC-сервере будет установлен сервис KUMA Windows Agent <Windows Agent ID>. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/HzAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/HzAimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/guzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/guzimage.png) Если статус агента в веб-интерфейсе KUMA красный, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector. Для удаления сервиса агента KUMA по окончанию тестирования продукта выполните следующую команду: ```shell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id --uninstall ``` #### Проверка поступления событий Windows в KUMA Для проверки, что сбор событий с устройств Windows успешно настроен перейдите в **Ресурсы** -> **Активные сервисы** -> выберите ранее созданный коллектор для Windows и нажмите **Перейти к событиям.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/0EGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/0EGimage.png) В открывшемся окне **События** убедитесь, что присутствуют события с Windows-устройств. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/4LHimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/4LHimage.png) # Настройка подписки WEC с использованием XML фильтра

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

При настройке подписки WEC через графический интерфейс не получится выбрать нужные для сбора журналы, если на сервере с WEC не установлены соответствующие роли Windows Server или ПО. [![dc+wec.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/dcwec.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/dcwec.png) Чтобы выбрать журналы, которые фактически присутствуют на удаленном сервере, но не доступны для выбора на WEC, можно воспользоваться XML фильтром. Ниже приведен пример XML фильтра для сбора событий из стандартного журнала Security, а также из журнала, который присущ только контроллеру домена - Directory Service. ```xml ``` [![wec_xml_filter.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/wec-xml-filter.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/wec-xml-filter.png) В результате данной настройки WEC начнет собирать события из журнала контроллера домена Directory Service. Аналогичном образом можно настроить сбор событий из других специфических журналов, а также использовать XML фильтры, если требуется выполнить настройку большого количества подписок WEC. # MS ETW (DNS Analytics)

Поддерживается в KUMA с версии 3.2

Расширенное ведение журнала DNS и диагностика доступны по умолчанию с версии Windows Server 2016. Эта функция также доступна в Windows Server 2012 R2 при установке исправления для ведения журнала запросов и аудита изменений, доступного по адресу [https://support.microsoft.com/kb/2956577](https://support.microsoft.com/kb/2956577)

Event Tracing for Windows (ETW) - это механизм логирования различных событий, создаваемых приложениями и драйверами. Фактически является более расширенной версией стандартного журнала событий. Исторически ETW использовался для задач дебага при разработке, сейчас его можно использовать в том числе и для поиска вредоносной активности. Включение опции логирования ETW оказывает незначительное влияние на производительность (рекомендуется в нагруженных системах). Например, DNS-сервер, работающий на современном оборудовании и получающий 100 000 запросов в секунду (QPS), может испытывать снижение производительности на 5 % при включении аналитических журналов. Очевидного влияния на производительность при скорости запроса 50 000 QPS и ниже не наблюдается. Однако всегда желательно отслеживать производительность DNS-сервера всякий раз, когда включено дополнительное ведение журнала. ### Теория ETW состоит из трёх отдельных компонентов: - Провайдеры (Providers), в некоторых случаях зовутся поставщиками - Потребители (Consumers) - Контроллеры (Controllers) Провайдеры генерируют события, потребители их используют, а контроллеры управляют всей этой деятельностью. Провайдеры - это приложения, которые содержат функционал отправки событий в ETW. Примеры провайдеров: ядро Windows, драйвера устройств, user-mode приложения и другое ПО. Какие необходимо отправлять события решает разработчик в своём коде, упрощенно говоря, если выполняется важная с точки зрения разработчика функция (открывается доступ к SAM), то создается запись в ETW. Для отправки провайдеры регистрируются в контроллере, контроллер в свою очередь может включить или отключить источник событий. Отключенный источник события не генерирует. Пример контроллеров - это logman или wevtutil. Для связи между провайдером и потребителем контроллер использует так называемые сессии трассировки. Сессия служит в том числе для фильтрации необходимых данных по различными параметрам, потому что потребителю может быть нужна только одна часть информации, а другому потребителю - другая. Полезные ссылки: - [https://habr.com/ru/articles/502362/](https://habr.com/ru/articles/502362/) - [https://learn.microsoft.com/ru-ru/archive/blogs/teamdhcp/network-forensics-with-windows-dns-analytical-logging](https://learn.microsoft.com/ru-ru/archive/blogs/teamdhcp/network-forensics-with-windows-dns-analytical-logging) ### Настройка на стороне Windows Переходим в **EventViewer** (Выполнить -> eventvwr.msc). Далее переходим в **Журналы приложений и служб\\Microsoft\\Windows\\DNS-Server** (на англ. Applications and Services Logs\\Microsoft\\Windows\\DNS-Server) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/xjhimage.png) Далее переходим в свойства Аналитического журнала: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/G1Wimage.png) Оставляем максимальный размер журнала по умолчнию в 1 Гб: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/weUimage.png) Нажимаем на **чекбокс Включить** ведение журнала, затем **ОК** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/baEimage.png) Должно получиться следующее: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/aHYimage.png) Нажимаем **Применить** и **ОК**. При появлении следующего окна, не пугаемся, при **включенной ротации аналитического журнала события не отображаются в интерфейсе**, чтобы их увидеть (нам это не понадобится) нужно остановить журнал. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/oOLimage.png) ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/sOqimage.png) Далее необходимо перейти в **Управление компьютером** и открыть его от Админиcтратора. Переходим **Служебные программы - Производительность - Сеансы отслеживания событий запуска.** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/Rt4image.png) Создаем группу сборщиков данных: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/RdTimage.png) Задаем имя сборщика, например etwDNS-Analytics: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/unXimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/unXimage.png) Добавляем поставщика **Microsoft-Windows-DNSServer**: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/ttWimage.png)

Агент с коннектором ETW работает только с System.Provider.Guid: {EB79061A-A566-4698-9119-3ED2807060E7} - Microsoft-Windows-DNSServer

Нажимаем **Далее - Далее - Готово**. Запускаем созданного поставщика, как сеанс отслеживания событий: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/jWximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/jWximage.png) Далее в сеансах отслеживания событий, в свойствах - **Сеансы отслеживания** указываем **Режим реального времени** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/At5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/At5image.png) Нажимаем **Применить** и **ОК**. Чтобы просмотреть, какие типы событий можно отслеживать, выполните следующую команду в командной строке powershell: ```powershell logman query providers "Microsoft-Windows-DNSServer" ``` Пример вывода: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/YfUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/YfUimage.png) ### Настройка коллектора и агента KUMA #### Создание коллектора KUMA Для создания коллектора в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** **->** **Коллекторы** и нажмите на кнопку **Добавить коллектор.** После выполнения вышеуказанных действий откроется мастер настройки. На первом шаге выберите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/SRcimage.png) На втором шаге мастера укажите транспорт. В нашем случае используется TCP (можно также использовать http и режимы с верификацией для защищенной отправки). В поле URL задайте FQDN/порт (выбирается любой из незанятых), на котором коллектор будет ожидать соединение от агента. В качестве разделителя укажите \\n.

\*можно указать только порт при инсталляции All-in-one.

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/XjVimage.png) На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать предустановленный расширенный нормализатор для событий Windows **\[OOTB\] Microsoft DNS ETW logs json.** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/rknimage.png) Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее. На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/TkNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/TkNimage.png) На завершающем шаге мастера нажмите на кнопку **Создать и сохранить сервис**. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/2FEimage.png) Также после выполнения вышеуказанных действий на вкладке **Ресурсы** **->** **Активные сервисы** появится созданный сервис коллектора. #### Установка коллектора KUMA Выполните подключение к CLI KUMA (установка коллектора выполняется с правами root). Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/gH5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/gH5image.png) При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы. ```shell firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent firewall-cmd --reload ``` После успешной установки сервиса его в статус в веб-консоли KUMA изменится на **зеленый**. #### Создание агента KUMA Для создания агента в веб-интерфейсе KUMA перейдите на вкладку **Ресурсы** **->** **Агенты** и нажмите на кнопку **Добавить агент**. В открывшейся вкладке **Общие параметры** укажите **Имя агента** и **Тенант**, к которому он будет принадлежать. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/Lcaimage.png) На вкладке **Подключение 1** в параметрах коннектора задайте имя коннектора, тип etw и укажите имя сессии (это имя сборщика созданного на этапе настройки на стороне Windows) в нашем случае это etwDNS-Analytics. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/tcGimage.png) В секции **Точки назначения** укажите имя точки назначения, тип **tcp **(должен совпадать с настройками коллектора). Задайте URL в формате **fqdn:port** (FQDN коллектора и порт, должны совпадать с настройками коллектора). ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/HX3image.png) В дополнительных параметрах укажите размер дискового буфера в 1 Гб. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/W9Rimage.png) После настройки дополнительных параметров сохраните созданный ресурс агента. #### Публикация агента KUMA В разделе **Ресурсы** -> **Активные сервисы** опубликуйте созданную конфигурацию Agent ETW. Для этого нажмите **Создать сервис** -> выберите созданный сервис агента Agent ETW и нажмите **Создать сервис.** После публикации сервиса скопируйте его идентификатор нажатием на ПКМ данного сервиса для последующей установки агента на Windows сервере. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/BL4image.png) ### Установка агента KUMA #### Создание учетной записи Для функционирования агента KUMA необходимо создать либо доменную сервисную учетную запись, либо локальную УЗ с помощью которой будет выполняться запуск агента KUMA и обеспечиваться доступ к чтению аналитического журнала. Для УЗ требуются следующие группы и права: - **Пользователи журналов производительности (Performance Log Users group)** (чтение журнала, настройка в свойствах пользователя); - **Вход в качестве службы (Log on service)** (права на запуск сервиса агента, настройка в политиках безопасности).

После запуска сервиса агента можно переключиться на системную локальную учетку (LocalSystem), сделать это можно через Services на Windows. Иногда такое целесообразно при ротации паролей в УЗ.

#### Установка агента KUMA Выполняется на Windows сервере, который обеспечивает прием событий от источников (рабочих станций/серверов). Предварительно FQDN Core KUMA должен быть добавлен в файл hosts на Windows сервере, либо добавлен на DNS-сервере. На Windows сервере рекомендуется создать папку **C:\\Users\\<имя пользователя>\\Desktop\\KUMA.** Далее скопируйте в данную папку исполняемый файл **kuma.exe.** Файл **kuma.exe **находится в архиве пакетов установки KUMA. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/iyiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/iyiimage.png) Для установки агента KUMA запустите командную строку с правами администратора. Перейдите в папку **C:\\Users\\<имя пользователя>\\Desktop\\KUMA,** примите лицензионное соглашение: `/opt/kaspersky/kuma/kuma.exe license` Запустите установку агента командой: ```shell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --core https://:7210 --id –-user <Имя сервисной доменной УЗ> --install ```

Если агент устанавливается из-под доменной учетной записи пользователь указывается в формате <домен>\\<имя учетной записи>, например, demo\\user

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/2Grimage.png) Во время установки сервиса система запросит пароль. Введите пароль сервисной доменной учетной записи. В результате, на Windows сервере будет установлен сервис KUMA Windows Agent <Windows Agent ID>. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/scaled-1680-/HzAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-09/HzAimage.png) Если статус агента в веб-интерфейсе KUMA красный, необходимо удостовериться в доступности портов 7210 и порта коллектора Windows по направлению от агента к KUMA Collector. Для удаления сервиса агента KUMA по окончанию тестирования продукта выполните следующую команду: ```shell C:\Users\<имя пользователя>\Desktop\KUMA>kuma.exe agent --id --uninstall ``` #### Проверка поступления событий Windows в KUMA Для проверки, что сбор событий с устройств Windows успешно настроен перейдите в **Ресурсы** -> **Активные сервисы** -> выберите (чекбокс) ранее созданный коллектор для Windows и нажмите **Перейти к событиям.** Либо **ПКМ - Перейти к событиям.** В открывшемся окне **События** убедитесь, что присутствуют события с Windows-устройств. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-06/scaled-1680-/yVLimage.png) # MS Exchange По Exchange KUMA анализирует Message Tracking Log (MTL) в формате CSV.
Пример лога: \#Software: Microsoft Exchange Server \#Version: 15.01.1034.026 \#Log-type: Message Tracking Log \#Date: 2017-09-15T20:01:45.863Z \#Fields: date-time,client-ip,client-hostname,server-ip,server-hostname,source-context,connector-id,source,event-id,internal-message-id,message-id,network-message-id,recipient-address,recipient-status,total-bytes,recipient-count,related-recipient-address,reference,message-subject,sender-address,return-path,message-info,directionality,tenant-id,original-client-ip,original-server-ip,custom-data,transport-traffic-type,log-id,schema-version 2017-09-15T20:01:45.863Z,,,,WINEXC,No suitable shadow servers,,SMTP,HAREDIRECTFAIL,34359738369,<49b4b9a2781a45cba555008075f7bffa@test.com>,8e1061b7-a376-497c-3172-08d4fc7497bf,test1@test.com,,6533,1,,,test,Administrator@test.com,Administrator@test.com,,Originating,,,,S:DeliveryPriority=Normal;S:AccountForest=test.com,Email,63dc9d79-5b4e-4f6c-1358-08d4fc7497c3,15.01.1034.026
Для настройки можно обратиться к этой статье:[ https://learn.microsoft.com/ru-ru/exchange/mail-flow/transport-logs/transport-logs?view=exchserver-2019](https://learn.microsoft.com/ru-ru/exchange/mail-flow/transport-logs/transport-logs?view=exchserver-2019) Далее нужную директорию расшарить и подключить ее к KUMA по аналогии с этой статьей: [https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma](https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma) # MS Windows XP & 2003 SNMP

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/239864.htm](https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/239864.htm "Настройка получения событий Kaspersky Security Center в формате CEF")

### Настройка на стороне Windows. #### Настройка сервиса SNMP В статье рассматривается настройка на ОС Windows XP. Перейдите в **Панель управления - Установка и удаление программ - Установка компонентов Windows.** Установите Средства управления и наблюдения и провайдер WMI SNMP (если есть). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/mVuimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/mVuimage.png) Дождитесь завершения установки и перезагрузите компьютер. Убедитесь, что службы SNMP запущена (**Панель управления - Администрирование - Службы**): Служба SNMP (SNMP Service) и Служба ловушек SNMP (SNMP Trap). Если какие-то из перечисленных ниже служб не запущены - Запустите #### Настройка сервиса SNMP Перейдите в **Панель управления - Администрирование - Службы - Служба SNMP (Свойства) - Вкладка Ловушки** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/1WUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/1WUimage.png) Добавьте имя сообщества: **public** Адрес назначения ловушек: **<IP\_адрес\_коллектора>** На вкладке Безопасность: - Установите флажок: Посылать ловушку проверки подлинности (Send authentication trap) - В таблице Приемлемые имена сообществ (Accepted community names) добавьте сообщество: public, с правами READ WRITE - Установите флажок: Принимать пакеты SNMP от любого узла (Accept SNMP packets from any hosts) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/QpGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/QpGimage.png) Затем Применить и ОК. ### Настройки на стороне KUMA Создайте коллектор со следующим транспортом: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/avNimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/avNimage.png) В дополнительных параметрах в случае Русской локали в ОС кажите явно кодировку: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/AXgimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/AXgimage.png)

В качестве парсера рекомендуем использовать комьюнити нормализатор (предварительно импортируйте его в KUMA, пароль импорта: `q123123Q!`): [**ссылка**](https://box.kaspersky.com/f/276688a467c0420b84d6/)

Задайте маршрут куда отправлять обработанные события коллектором: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/F2Jimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/F2Jimage.png) Нажмите сохранить и создать сервис, скопируйте строку установки и выполните ее в консоли SSH.

SNMP использует порт **161 UDP** для общих сообщений, для ловушек используется порт **162 UDP**. Для прослушки порта SNMP обновите параметры службы в Linux (предварительно скопируйте ID коллектора), инструкция как настроить прослушку ниже 1024 порта в Linux: [**ссылка**](https://kb.kuma-community.ru/link/55#bkmrk-%D0%A1%D0%BB%D1%83%D1%88%D0%B0%D1%82%D1%8C-%D0%BD%D0%B0-514-%D0%BF%D0%BE%D1%80%D1%82%D1%83)

### Настройка аудита на стороне Windows Нажмите **Пуск - Выполнить** - Введите: **evntwin** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/Cnjimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/Cnjimage.png) - В переключателе Тип конфигурации (Configuration type) выберите особая (Custom), а затем нажмите на кнопку Правка (Edit) - В блоке параметров Источники событий (Event sources) найдите и добавьте с помощью кнопки Добавить (Add) события, которые вы хотите отправить в коллектор KUMA с установленным коннектором SNMP Trap (рекомендуется отправлять все из папки Security) - Нажмите на кнопку Settings, в открывшемся окне установите флажок Не применять глушитель (Don't apply throttle) и нажмите OK - Нажмите Применить (Apply) и ОК ### Генерация тестовых событий на Windows Создайте и удалите тестового пользователя в системе для генерации событий в **Панель управления - Администрирование - Управление компьютером - Локальные пользователи - Папка пользователи**. При корректных настройках в кума должно отобразиться событие: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/3kZimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/3kZimage.png) # Аналог netcat с помощью PowerShell на Windows Часто для проверки поступления события требуется специальные утилиты для отправки тестового сообщения с Windows машины на коллектор, в рамках этой статьи будет представлен скрипт на PowerShell , с помощью которого можно будет отправить тестовое сообщение по IP:PORT по протоколу TCP. Код скрипта: ```powershell Function Send-TCPMessage {      Param (              [Parameter(Mandatory=$true, Position=0)]             [ValidateNotNullOrEmpty()]              [string]              $EndPoint         ,              [Parameter(Mandatory=$true, Position=1)]             [int]             $Port         ,              [Parameter(Mandatory=$true, Position=2)]             [string]             $Message     )      Process {         # Setup connection          $IP = [System.Net.Dns]::GetHostAddresses($EndPoint)          $Address = [System.Net.IPAddress]::Parse($IP)          $Socket = New-Object System.Net.Sockets.TCPClient($Address,$Port)               # Setup stream wrtier          $Stream = $Socket.GetStream()          $Writer = New-Object System.IO.StreamWriter($Stream)         # Write message to stream         $Message | % {             $Writer.WriteLine($_)             $Writer.Flush()         }              # Close connection and stream         $Stream.Close()         $Socket.Close()     } } ``` Для отправки тестового сообщения нужно выполнить слледующую команду: ```powershell Send-TCPMessage -Port 5578 -Endpoint 10.68.85.125 -message "KUMA the best SIEM !" ``` Вот как это выглядит в работе: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/3piimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/3piimage.png) На стороне KUMA: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/tWeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/tWeimage.png) # Мониторинг ключей реестра Windows Для мониторинга ключей реестра в KUMA можно использовать стандартные механизмы аудита Windows. Для этого необходимо настроить расширенный аудит на доступ к реестру и определить разделы, операции с ключами которых необходимо мониторить. Данные настройки могут быть выполнены локально на сервере, а также заданы с помощью групповой политики. В статье ниже будет рассказано о локальных настройках. --- ### Настройка политики аудита Запустите cmd.exe из-под учетной записи Администратора и выполните следующую команду: ``` auditpol /set /subcategory:"Реестр" /success:enable /failure:enable ``` Другим вариантом является внесение изменений в локальную политику безопасности. Чтобы выполнить его, откройте редактор Локальной политики безопасности и перейдите в "Параметры безопасности" - "Конфигурация расширенной политики аудита" - "Политики аудита системы" - "Объект локальной групповой политики" - "Доступ к объектам". [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/7M9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/7M9image.png) Откройте подкатегорию "Аудит реестра" и выставите необходимые значения [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/v6uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/v6uimage.png) --- ### Настройка аудита раздела реестра Откройте оснастку "Редактор реестра" и перейдите к разделу, аудит которого необходимо настроить [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/MYLimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/MYLimage.png) Нажмите ПКМ на нужном разделе и выберите пункт Разрешения [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/BISimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/BISimage.png) В открывшемся окне нажмите на кнопку "Дополнительно" [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/ghyimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/ghyimage.png) В новом окне перейдите на вкладку "Аудит" и добавьте необходимое правило аудита раздела. В данном примере настроен аудит полного доступа всех субъектов к текущему разделу и всем его подразделам. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/crDimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/crDimage.png) Примените выполненные настройки. --- ### Результат В результате выполненных настроек в журнале безопасности (security) Windows будут появляться события в зависимости от настроенного аудита. События, которые могут появляться: \- 4663(S): An attempt was made to access an object. \- 4656(S, F): A handle to an object was requested. \- 4658(S): The handle to an object was closed. \- 4660(S): An object was deleted. \- 4657(S): A registry value was modified. \- 5039(-): A registry key was virtualized. \- 4670(S): Permissions on an object were changed. Как это выглядит в KUMA (на примере события 4657): [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/se8image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/se8image.png)
[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Xraimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Xraimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/dHFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/dHFimage.png)
# Unix # Настройка AuditD на Unix системах

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Архитектура Auditd [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/scaled-1680-/w3Rimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-01/w3Rimage.png) ### Настройка AuditD Для начала необходимо проврить установлена нужная служба auditd, посмотрим активные правила: ``` auditctl -l ``` В случае наличия подобной ошибки: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/owlimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/owlimage.png) Необходимо установить следующие пакеты: ``` apt-get install auditd audispd-plugins ``` Либо (если RHEL подобные ОС): ``` yum install audit audispd-plugins ``` Рекомендуем использовать следующие правила для аудита: ``` wget -O audit.rules https://raw.githubusercontent.com/Neo23x0/auditd/master/audit.rules ``` Загрузить файл с правилами аудита с портала box.kaspersky.com - [**тут**](https://box.kaspersky.com/f/acfad80baeca482e9af9/).

Другие правила аудита можно найти в этой статье - [https://kb.kuma-community.ru/link/14#bkmrk-linux](https://kb.kuma-community.ru/link/14#bkmrk-linux)

Рекомендуем добавить записи в конец файла `audit.rules`, для быстрого добавления используйте команду ниже (после выполните `systemctl restart auditd.service`): ```bash cat << EOF >> /etc/audit/rules.d/audit.rules # root authorized_keys -w /root/.ssh/authorized_keys -p wa -k rootkey # motd audit -w /etc/update-motd.d/ -p wa -k motd # udev audit -w /etc/udev/rules.d/ -p wa -k udev # xdg audit -w /etc/xdg/autostart/ -p wa -k xdg -w /usr/share/autostart/ -p wa -k xdg # Package Manager (APT/YUM/DNF) -w /etc/yum/pluginconf.d/ -p wa -k package_man -w /etc/apt/apt.conf.d/ -p wa -k package_man -w /etc/dnf/plugins/dnfcon.conf -p wa -k package_man # exta systemd -w /usr/lib/systemd/ -p wa -k systemd -w /lib/systemd/ -p wa -k systemd -w /usr/local/lib/systemd/ -p wa -k systemd -w /usr/local/share/systemd/user -p wa -k systemd_user -w /usr/share/systemd/user -p wa -k systemd_user # setcap audit -w /usr/sbin/setcap -p x -k setcap # rc audit -w /etc/rc.local -p wa -k rclocal ## extra Shell/profile configurations -w /etc/bash.bashrc -p wa -k shell_profiles -w /etc/bash.bash_logout -p wa -k shell_profiles -w /root/.profile -p wa -k shell_profiles -w /root/.bashrc -p wa -k shell_profiles -w /root/.bash_logout -p wa -k shell_profiles -w /root/.bash_profile -p wa -k shell_profiles -w /root/.bash_login -p wa -k shell_profiles # extra search files -w /usr/bin/find -p x -k T1083_File_And_DIrectory_Discovery ## Kernel Related Events -w /usr/sbin/modprobe -p x -k T1547_Boot_or_Logon_Autostart_Execution -w /usr/sbin/insmod -p x -k T1547_Boot_or_Logon_Autostart_Execution -w /usr/sbin/lsmod -p x -k T1547_Boot_or_Logon_Autostart_Execution -w /usr/sbin/rmmod -p x -k T1547_Boot_or_Logon_Autostart_Execution -w /usr/sbin/modinfo -p x -k T1547_Boot_or_Logon_Autostart_Execution -w /etc/modprobe.conf -p wa -k T1547.006_6 -w /etc/sysctl.conf -p wa -k sysctl # extra file manipulation -w /usr/bin/ftp -p x -k T1105_remote_file_copy -w /usr/bin/sftp -p x -k T1105_remote_file_copy -w /usr/bin/rsync -p x -k T1105_remote_file_copy -w /usr/bin/cp -p x -k T1005_Data_from_Local_System -w /usr/bin/dd -p x -k T1005_Data_from_Local_System -a always,exit -F arch=b32 -S execve -S execveat -F exe=/usr/bin/shred -F -k T1070.004_1 -a always,exit -F arch=b64 -S execve -S execveat -F exe=/usr/bin/shred -F -k T1070.004_2 # split cmd audit -w /usr/bin/split -p x -k split EOF ``` Другие правила аудита и полезные материалы по AuditD можно найти - [**тут**](https://kb.kuma-community.ru/books/kuma-how-to/page/poleznye-ssylki-po-ib). Далее нужно переместить правила в директорию по умолчанию и применить правила перезапуском сервиса: ``` cp audit.rules /etc/audit/rules.d/ systemctl restart auditd.service systemctl enable auditd.service ```
В случае ошибки рестарта службы auditd (Failed to restart auditd.service) На RHEL подобных ОС, может встретиться следующая ошибка: *Failed to restart auditd.service: Operation refused, unit auditd.service may be requested by dependency only (it is configured to refuse manual start/stop).* *See system logs and 'systemctl status auditd.service' for details.* ```bash nano /usr/lib/systemd/system/auditd.service ``` Измените параметр `RefuseManualStop `на: ```bash RefuseManualStop=no ``` Затем обновите параметры службы: ```bash systemctl daemon-reload ```
Для проверки убедитесь что следующий лог наполняется информацией: ``` tail -f /var/log/audit/audit.log ```

Рекомендуемый парсер (без агрегации/склейки событий) для правил корреляции Community - **\[2024-09-23\] Unix AuditD (REGEX)** (из Community-Pack)

Для использования агрегации логов используйте коробочный парсер **\[OOTB\] Linux auditd syslog for KUMA 3.2** c включенным переключателем "auditd", который доступен в KUMA 3.2, подробнее:[ https://support.kaspersky.com/help/KUMA/3.2/ru-RU/220739.htm](https://support.kaspersky.com/help/KUMA/3.2/ru-RU/220739.htm)

### Известные проблемы Бывают случаи, когда из-за ротации самого себя auditd (собственная ротация) падает в статусе сервиса: *Sep 24 00:11:42 example.org auditd\[756\]: Audit daemon rotating log files* В таком статусе лог файл не пополняется, рекомендуется использовать системную ротацию logrotate. Сначала отключается собственная ротация auditd, правим конфиг: ```bash nano /etc/audit/auditd.conf ``` Правим занчение (выделено жирным): `max_log_file_action = ignore` Затем настраивается системная ротация logrotate. ```bash touch /etc/logrotate.d/auditd chmod 644 /etc/logrotate.d/auditd; chown root:root /etc/logrotate.d/auditd nano /etc/logrotate.d/auditd ``` Пишем в файле auditd: ```bash # daily rotation keep last 2 days and compress old /var/log/audit/audit.log { daily missingok notifempty sharedscripts rotate 2 compress delaycompress postrotate /usr/bin/systemctl kill -s USR1 auditd.service >/dev/null 2>&1 || true endscript } ``` Перезапускаем службы logrotate и auditd: ```bash systemctl restart logrotate.service; systemctl restart auditd.service ``` ### Классический сбор событий auditd с помощью Rsyslog Проведите настроку по этой инструкции: [https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/sbor-sobytii-auditd-s-pomoshhiu-rsyslog](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/sbor-sobytii-auditd-s-pomoshhiu-rsyslog) ### Удаленная отправка логов auditd

Не поддерживается коробочным парсером **\[OOTB\] Linux auditd syslog for KUMA 3.2**

Иногда **если место на сервере ограничено и хранить объемный лог audutd нет возможности**, для этого можно настроить отправку логов сразу на удаленный сервер, для этого будем использовать плагин audispd-plugins, который мы загружали выше. Отключим локальное ведение логов аудита в файле `/etc/audit/auditd.conf` выставляем значение **write\_logs = no**: ```bash root@kuma# nano /etc/audit/auditd.conf local_events = yes write_logs = no name_format = HOSTNAME ```

Не прописывайте name\_format = HOSTNAME если планируете использовать коробочный парсер **\[OOTB\] Linux auditd syslog for KUMA 3.2**

Теперь нам нужно исправить файл по примеру ниже для отправки логов на удаленный сервер: ```bash root@kuma# nano /etc/audit/plugins.d/au-remote.conf active = yes direction = out path = /sbin/audisp-remote type = always #args = format = string ``` Далее нужно отредактировать файл `/etc/audit/audisp-remote.conf` следующим образом: ```bash root@kuma# nano /etc/audit/audisp-remote.conf # # This file controls the configuration of the audit remote # logging subsystem, audisp-remote. # remote_server = 192.168.0.100 port = 16666 transport = tcp queue_file = /var/spool/audit/remote.log mode = immediate queue_depth = 10240 format = ascii network_retry_time = 2 max_tries_per_record = 3 max_time_per_record = 5 heartbeat_timeout = 0 network_failure_action = stop disk_low_action = ignore disk_full_action = warn_once disk_error_action = warn_once remote_ending_action = reconnect generic_error_action = syslog generic_warning_action = syslog queue_error_action = stop overflow_action = syslog startup_failure_action = warn_once_continue ##krb5_principal = ##krb5_client_name = auditd ##krb5_key_file = /etc/audisp/audisp-remote.key ``` Теперь нужно перезапустить сервис auditd для применения обновленных конфигураций : ``` systemctl restart auditd.service ``` Сырые события будут без заголовка syslog, парсер Unix из комьюнити-пака обработает корректно такие логи: ``` node=kuma-aio.local type=PROCTITLE msg=audit(1704808440.087:50482): proctitle=2F7362696E2F617564697463746C002D52002F6574632F61756469742F61756469742E72756C6573 ``` # Настройка Syslog-ng на Unix системах

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Для начала необходимо проврить установлена нужная служба Syslog-ng, посмотрим статус службы: ``` systemctl status syslog-ng ``` В случае отсутствия службы необходимо установить следующие пакеты: ``` apt-get install syslog-ng ``` В случае если служба не запущена: ``` sudo systemctl start syslog-ng sudo systemctl enable syslog-ng ``` ### Настройка источника Далее на источнике нужно создать файл с параметрами работы службы и изменить конфигурационный файл службы Syslog-ng. Сначала создается файл с параметрами работы службы: Создайте файл `/etc/syslog-ng/1-unixLogging.conf`, например с помощью nano: ``` nano /etc/syslog-ng/1-unixLogging.conf ``` Добавьте в файл строки для отправки по UDP на порт 5140: ```bash filter unix_filter {     not facility(cron, lpr, mail, news, uucp); }; destination to_kuma_udp {     udp("" port(5140)); }; log {     source(s_src);     filter(unix_filter);     destination(to_kuma_udp); }; ``` Добавьте в файл строки для отправки по TCP на порт 5140: ```bash filter unix_filter {     not facility(cron, lpr, mail, news, uucp); }; destination to_kuma_tcp {     tcp("" port(5140) log-fifo-size(1000)); }; log {     source(s_src);     filter(unix_filter);     destination(to_kuma_tcp); flags(flow-control); }; ``` Чтобы настроить конфигурационный файл службы с использованием настроек сделанных выше, отредактируйте файл `/etc/syslog-ng/syslog-ng.conf`, добавив в файл строку: ``` @include "1-unixLogging.conf" ``` Перезапустите службу syslog-ng: ``` systemctl restart syslog-ng ``` ### Проверка отправки сообщения Для проверки получения и отправки сообщения можно воспользоваться командой с тестовым сообщением: ``` logger "testTest" ``` Это сообщение должно появиться в системном журнале, например `/var/log/messages`: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/scaled-1680-/Wn5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-10/Wn5image.png) ### Дополнительная информация Обычно в конфиграции /etc/syslog-ng/syslog-ng.conf в s\_src содержится 2 типа журналов ```bash source s_src {        system(); # системный журнал        internal(); # внутренние сообщения журнала syslog-ng }; ``` Для задания шаблона сообщения можно использовать следующее: ```bash template LogglyFormat { template("<${PRI}>1 ${ISODATE} ${HOST} ${PROGRAM} ${PID} ${MSGID} [TOKEN@41058 tag=\"TAG\" ] $MSG\n"); template_escape(no); }; ``` ```bash destination d_loggly { tcp("logs-01.loggly.com" port(514) template(LogglyFormat)); }; ``` # Сбор событий AuditD с помощью Rsyslog

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/KUMA/2.1/ru-RU/239760.htm

### Создание коллектора KUMA Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий. На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя** коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/7Ejimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/7Ejimage.png) На втором шаге мастера необходимо выбрать тип подключения **udp** или **tcp** и указать **порт**, на котором коллектор будет ожидать входящие подключения. В данном примере выбран UDP/5144. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EoGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EoGimage.png) На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] Linux Audit and iptables Syslog (либо парсер AuditD из PreSales Pack)**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/CQEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/CQEimage.png) Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению. На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/IW1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/IW1image.png) На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/4Bkimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/4Bkimage.png) В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/O9dimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/O9dimage.png) --- ### Установка коллектора KUMA Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA. Для установки сервиса коллектора необходимо выполнить скопированную команду. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/dmzimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/dmzimage.png) Также необходимо добавить порт коллектора в исключения фаервола и обновить параметры службы ```bash firewall-cmd --add-port=5144/udp --permanent firewall-cmd --reload ``` В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/INUimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/INUimage.png) --- ### Настройка сервера источника логов

В случае наличия ошибок с доступом журналов, попробуйте отключить SELinux. Отключение SELinux вручную — SELINUX = Disabled в /etc/selinux/config и затем setenforce 0, команда getenforce для проверки.

На сервере источнике логов проверьте наличие сервиса **RSyslog** в системе: ``` systemctl status rsyslog.service ``` [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/GCJimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/GCJimage.png) В случае отсутствия сервиса его необходимо установить и запустить: ``` yum install rsyslog systemctl enable rsyslog.service systemctl start rsyslog.service ``` Далее в папке `/etc/rsyslog.d` необходимо создать файл **`audit.conf`** следующего содержания: ```bash vi /etc/rsyslog.d/audit.conf ``` ``` $ModLoad imfile $InputFileName /var/log/audit/audit.log $InputFileTag tag_audit_log: $InputFileStateFile audit_log $InputFileSeverity info $InputFileFacility local6 $InputRunFileMonitor local6.* @:<порт коллектора KUMA> ``` Для отправки событий по протоколу TCP последнюю строчку следует заменить на: ``` local6.* @@:<порт коллектора KUMA> ``` После сохранения изменений в файле необходимо перезапустить сервис Rsyslog командой: ``` systemctl restart rsyslog.service ``` --- ### Проверка поступления событий Для проверки поступления событий выберите соответствующий коллектор и нажмите на кнопку **Перейти к событиям**. В открывшемся окне события при нажатии на значок лупы должны появиться события **Auditd**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/NL7image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/NL7image.png) --- ### Отправка лога без заголовка syslog Иногда необходимо отпралять события без заголовка, в этом случае используются шаблоны, ниже пример использования в конфиге: ``` $template onlyMSG,"%msg%\n" $ModLoad imfile $InputFileName /var/log/audit/audit.log $InputFileTag tag_audit_log: $InputFileStateFile audit_log $InputFileSeverity info $InputFileFacility local6 $InputRunFileMonitor local6.* @:<порт коллектора KUMA>;onlyMSG ``` # Network Подключение сетевых источников событий: маршрутизаторы, коммутаторы, FW, NGFW и т.п. # Usergate

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка Usergate Для настройки отправки событий с Usergate в KUMA выполните следующие действия: 1\. В веб-интерфейсе Usergate перейдите на вкладку **Журналы и отчеты**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Nmkimage.png) 2\. Выберите **Экспорт журналов** и нажмите кнопку **Добавить**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/2Bfimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/2Bfimage.png) 3\. На вкладке **Общие** поставьте галочку напротив параметра **Включено** и задайте имя правилу экспорта журналов. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/eZeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/eZeimage.png) 4\. На вкладке **Удаленный сервер** задайте следующие настройки: - **Тип** сервера - **Syslog** - **Адрес** - коллектора KUMA - **Порт** - порт коллектора KUMA - **Транспорт** - **UDP** или **TCP** (настройка должна совпадать с настройками коллектора KUMA). - **Протокол** - **Syslog (RFC 5424)**. - **Критичность** и **Объект** выберите в соответствии с потребностями в логировании.

В поле **Имя хоста** по умолчанию указано имя хоста Usergate с символом **@**. Замените символ «**@**» на символ «**.**» для корректной нормализации событий Usergate на стороне KUMA.

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/kivimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/kivimage.png) 5\. На вкладке **Журналы для экспорта** поставьте галочки напротив **Журналов**, которые необходимо экспортировать в KUMA. Для каждого экспортируемого журнала выберите **Формат CEF**. 6\. Сохраните внесенные изменения. --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Usergate. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Usergate. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Syslog-CEF.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Экспорт журналов (документация UserGate): [https://docs.usergate.com/eksport-zhurnalov\_178.html](https://docs.usergate.com/eksport-zhurnalov_178.html) # ViPNet Coordinator

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка ViPNet Coordinator Для отправки событий ViPNet Coordinator в KUMA выполните следующее: 1\. Подключитесь к консоли ViPNet Coordinator локально или через ssh. 2\. Перейдите режим в Администратора с помощью следующей команды: ``` enable ``` 3\. Из командной строки в режиме Администратора выполните команду: ``` machine set loghost ``` После выполненных настроек ViPNet Coordinator будет отправлять системный журнал на адрес коллектора KUMA по протоколу UDP и 514-му порту.

В случае если коллектор KUMA является открытым узлом по отношению к ViPNet Coordinator, то также необходимо создать фильтр открытой сети, разрешающий исходящий трафик по протоколу UDP на 514-й порт коллектора KUMA.

--- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий ViPNet Coordinator. 1\. На шаге **Транспорт** укажите тип UDP и порт 514. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] VipNet Coordinator syslog.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Дополнительная настройка коллектора После установки коллектора, необходимо внести изменения в файл сервиса коллектора для того, чтобы коллектор мог слушать входящие соединения на порту 514. Для этого выполните следующие действия: 1\. Остановите выполнение сервиса коллектора командой ```bash systemctl stop kuma-collector- ``` 2\. Откройте на редактирование файл коллектора `/usr/lib/systemd/system/kuma-collector-.service` 3\. В разделе **\[Service\]** добавьте следующую строку ```bash AmbientCapabilities=CAP_NET_BIND_SERVICE ``` 4\. Сохраните полученный файл 5\. Обновите параметры сервисов следующей командой ```bash systemctl daemon-reload ``` 6\. Запустите службу коллектора следующей командой ```bash systemctl start kuma-collector- ``` # Ideco UTM

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm)

### Настройка Ideco UTM Для передачи событий из Ideco UTM в KUMA выполните следующие действия: 1\. Подключитесь к веб-интерфейсу Ideco UTM под учётной записью, обладающей административными привилегиями. 2\. В меню **Пересылка системных сообщений** переведите переключатель **Syslog** в положение включено. 3\. В параметре **IP-адрес** укажите IP-адрес коллектора KUMA. 4\. В параметре **Порт** введите порт, который прослушивает коллектор KUMA. 5\. Нажмите **Сохранить** для применения внесённых изменений. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Zqaimage.png) --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Ideco UTM. 1\. На шаге **Транспорт** укажите тип **UDP** и порт в соответствии с настройками на стороне Ideco UTM. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Ideco UTM syslog.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий Ideco UTM (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/255211.htm) Расшифровка передаваемых логов: [https://docs.ideco.dev/settings/monitor/syslog](https://docs.ideco.dev/settings/monitor/syslog) # Cisco IOS

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка Cisco IOS Войдите на источник Cisco IOS коммутатор или маршрутизатор. Введите следующую команду для входа в маршрутизатор в привилегированный режим: `enable` Переключитесь в режим конфигурации (configure terminal): ```bash conf t ```

Перед включением ведения журнала убедитесь, что ваш маршрутизатор правильно настроен для получения времени от сервера NTP, или настройте его вручную, чтобы получать время. Используйте команду `set clock` или `ntp server x.x.x.x` для синхронизации часов.

Включите журналирование: ``` logging on ``` Укажите IP-адрес коллектора и порт (можно использовать UDP или TCP транспорт): ```bash logging host transport udp port <порт коллектора> ``` Укажите уровень важности событий (рекомендуется informational): ```bash logging trap informational ``` Уровни критичности в CISCO:
**Level Keyword** **Level** **Description** **Syslog Definition**
emergencies 0 Система нестабильна LOG\_EMERG
alerts 1 Требуются немедленные действия LOG\_ALERT
critical 2 Критические условия LOG\_CRIT
errors 3 Условия ошибки (по умолчанию) LOG\_ERR
warnings 4 Условия предупреждения LOG\_WARNING
notifications 5 Нормальное, но значимое состояние LOG\_NOTICE
informational 6 Только информационные сообщения LOG\_INFO
debugging 7 Отладка сообщений LOG\_DEBUG
Укажите интерфейса источника для отправки событий: ``` logging source-interface <Имя интерфейса> ``` *<Имя интерфейса> - это имя интерфейса, например, dmz, lan, ethernet0 или ethernet1.* Настройте средство для системного журнала: ``` logging facility syslog ``` Настройте идентификатор событий: ``` logging origin-id ip ``` Настройте временные метки событий и идентификаторы событий в логировании: ``` service timestamps log datetime year show-timezone service sequence numbers ```

Маршрутизатор по умолчанию не проверяет, авторизован ли пользователь в консольном порту или к нему подключено устройство; если ведение журнала консоли включено, на консольный порт всегда отправляются сообщения, которые могут вызвать нагрузку на процессор. Поэтому ниже включим логирование только необходимых событий. (вместо включения `logging console warning`)

Включите регистрацию событий входа пользователей: ```bash logging userinfo login on-success log  login on-failure log  ip ssh logging events ``` Включите регистрацию событий выполнения конфигурационных команд: ```bash archive log config logging enable notify syslog contenttype plaintext ``` **Опционально**. Включите регистрацию событий VPN: ```bash crypto logging ezvpn  crypto logging session crypto logging ikev2 ``` Выйдите из режима конфигурирования: ```bash end ``` Сохраните изменения даже после перезагрузки: на старых Cisco: ``` write memory ``` на новых Cisco (копирование рабочей конфигурации): ``` copy running-config startup-config ``` Чтобы отобразить состояние системного журнала (syslog) и содержимое стандартного буфера сообщений системного журнала, используйте команду из привилегированного режима: ```bash show logging ``` # FortiGate (CEF)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка коллектора KUMA #### Создание коллектора KUMA Для приема и обработки событий с FortiGate необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите на вкладку **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:** - На шаге **Подключение источников** укажите **Имя коллектора** и **Тенант**, к которому будет принадлежать создаваемый коллектор [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/La5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/La5image.png) - На шаге **Транспорт** укажите **Тип** и **Порт** (данные параметры должны соответствовать настройкам на стороне FortiGate: **set mode** и **set port** соответственно)

Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/hZ3image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/hZ3image.png) - На шаге **Парсинг событий** укажите нормализатор. Рекомендуется использовать предустановленный нормализатор **\[OOTB\] Syslog-CEF** ([https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/255782.htm)](https://support.kaspersky.com/help/KUMA/3.0.3/ru-RU/255782.htm)).

Если планируете использовать правила корреляции для FortiGate из Community-Pack необходимо использовать нормализатор **\[2024-04-22\] FortiGate Syslog-CEF**, также доступный в Community-Pack

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/9yoimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/9yoimage.png) - Шаги мастера настройки с четвертого по шестой можно пропустить и вернуться к их настройке позднее. - На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище**. В случае если предполагается также корреляция по событиям добавьте точку назначения типа **Коррелятор**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/tLAimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/tLAimage.png) - На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/bAWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/bAWimage.png) Также после выполнения вышеуказанных действий на вкладке **Ресурсы** **>** **Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/y26image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/y26image.png) #### Установка коллектора KUMA Выполните подключение к CLI KUMA (установка коллектора выполняется с правами root). Для установки сервиса коллектора в командной строке выполните команду, скопированную на прошлом шаге. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/GFnimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/GFnimage.png) При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы. ```shell firewall-cmd --add-port=<порт, выбранный для коллектора>/udp –permanent firewall-cmd --reload ``` После успешной установки сервиса его в статус в веб-интерфейсе KUMA изменится на **зеленый**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/1Nbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/1Nbimage.png) --- ### Настройка FortiGate Для настройки отправки событий в формате CEF с FortiGate в KUMA выполните следующие действия: - Подключитесь к CLI FortiGate по SSH - Перейдите в секцию настройки параметров Syslog: ```shell config log syslogd setting ``` - Выполните настройку параметров Syslog: ```shell set status enable # включить отправку событий на удаленный Syslog-сервер set server set mode udp # отправлять события по UDP set port <порт, заданный в параметрах коллектора KUMA> set source-ip # IP-адрес, который будет использоваться в качестве Source IP при взаимодействии c коллектором KUMA [опционально] set format cef # отправлять события в формате CEF set interface-select-method # если выбран specify указать вручную исходящий интерфейс для взаимодействия с коллектором KUMA с помощью команды set interface <наименование интерфейса> [опционально] end ``` --- ### Проверка поступления событий FortiGate в KUMA Для проверки, что сбор событий с FortiGate успешно настроен перейдите в **Ресурсы** > **Активные сервисы** > выберите ранее созданный коллектор для FortiGate и нажмите **Перейти к событиям.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/yLPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/yLPimage.png) В открывшемся окне **События** убедитесь, что присутствуют события с FortiGate. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/scaled-1680-/rThimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2024-04/rThimage.png) --- ### Полезные ссылки Отправка событий в формате CEF - [https://community.fortinet.com/t5/FortiGate/Technical-Note-FortiGate-Logs-can-be-sent-to-syslog-servers-in/ta-p/190617](https://community.fortinet.com/t5/FortiGate/Technical-Note-FortiGate-Logs-can-be-sent-to-syslog-servers-in/ta-p/190617) # Check Point NGFW (CEF)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка коллектора KUMA #### Создание коллектора KUMA Для приема и обработки событий Check Point NGFW необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:** - На шаге **Подключение источников** укажите **Название коллектора** и **Тенант**, которому будет принадлежать создаваемый коллектор ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/jfXimage.png) - На шаге **Транспорт** укажите **Тип коннектора** и **URL** (порт, выделенный сервису)

Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**

Указанные параметры должны соответствовать настройкам на стороне Check Point

![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/8Qhimage.png) - На шаге **Парсинг событий** нажмите **Добавить парсинг событий** и укажите нормализатор. Рекомендуется создать и использовать в качестве нормализатора для событий Check Point дубликат предустановленного нормализатора **\[OOTB\] CEF.**[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/image.png)В параметрах нормализатора перейдите в окно **Основной парсинг событий** и выберите вкладку **Обогащение.** На вкладке **Обогащение** нажмите **Добавить обогащение** и настройте параметры обогащения согласно скриншоту ниже для корректной работы SOC и Community корреляционных правил. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/E2Zimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/E2Zimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/yytimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/yytimage.png) - Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее. - На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/oyZimage.png) - На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/ag5image.png) Также после выполнения вышеуказанных действий в разделе **Ресурсы** **>** **Активные сервисы** появится созданный сервис коллектора. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/AyAimage.png) #### Установка коллектора KUMA Выполните подключение к CLI сервера KUMA (установка сервиса коллектора выполняется с правами root). Для установки сервиса коллектора выполните команду, скопированную на прошлом шаге. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/36Dimage.png) При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы. ```shell firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent firewall-cmd --reload ``` После успешной установки сервиса его статус в веб-интерфейсе KUMA изменится на **Вкл** с **зеленой индикацией**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/imGimage.png) --- ### Настройка Check Point NGFW Отправка событий Check Point NGFW осуществляется средствами Log Exporter с Management Server/Log Server. Настройку конфигурации Log Exporter можно выполнить двумя способами: - С помощью SmartConsole (начиная с версии R81) - В CLI #### SmartConsole - Создайте новый объект Log Exporter/SIEM: - Выберите **Objects** > **More object types** > **Server** > **Log Exporter/SIEM** - В поле **Object Name** введите имя для создаваемого объекта **Log Exporter** - Перейдите во вкладку **General**: - В секции **Export Configuration** активируйте флаг **Enabled** - В секции **Server Configuration**: - В поле **Target Server** укажите IP-адрес или FQDN сервера коллектора KUMA (FQDN поддерживается, начиная с R81 SmartConsole Build 569) - В поле **Target Port** укажите порт, указанный на шаге **Транспорт** при создании сервиса коллектора - В поле **Protocol** выберите протокол (TCP или UDP), указанный на шаге **Транспорт** при создании сервиса коллектора - Перейдите во вкладку **Data Manipulation:** - В поле **Format** выберите **Common Event Format (CEF)** - **(Опционально)** активируйте флаг **Aggregate log updates before export** для экспорта событий, содержащих полные данные, а не только изменения, произошедшие с момента последнего лога для одного и того же события. - **(Опционально)** Перейдите во вкладку **Attachments:** - Активируйте флаги - **Add link to Log Details in SmartView** - **Add link to Log Attachment in SmartView** - **Add Log Attachment ID** - Нажмите **ОК** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/wgXimage.png)![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/VOTimage.png) - Выполните настройку параметров объекта **Management Server** или **Dedicated Log Server / SmartEvent Server:** - В навигационной панели слева выберите **Gateways & Servers** - Откройте объект **Management Server or Dedicated Log Server / SmartEvent Server** - Слева выберите **Logs** > **Export** - Нажмите **\[+\]** и выберите объект **Log Exporter /** **SIEM,** созданный ранее - Нажмите **OK** - Нажмите **Menu** > **Install database** - Выберите все объекты - Нажмите **Install** #### CLI - Подключитесь к **Management Server / Log Server** - Перейдите в режим **Expert** - Настройте параметры **Log Exporter** ```shell cp_log_export add name <Наименование конфигурации Log Exporter> target-server target-port <Порт, указанный на шаге Транспорт при создании сервиса коллектора> protocol {tcp | udp} format cef ``` - Запустите новый инстанс **Log Exporter** ```shell cp_log_export restart name <Наименование конфигурации> ``` --- ### Проверка поступления событий Check Point NGFW в KUMA Для проверки, что сбор событий с Check Point NGFW успешно настроен перейдите в **Ресурсы** > **Активные сервисы** > выберите ранее созданный коллектор Check Point NGFW > ПКМ > **Перейти к событиям.** ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/Hoiimage.png) В открывшемся окне **События** убедитесь, что присутствуют события Check Point NGFW. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/IBXimage.png) --- ### Полезные ссылки Настройка отправки событий Check Point с помощью Log Exporter - [https://support.checkpoint.com/results/sk/sk122323](https://support.checkpoint.com/results/sk/sk122323) Описание полей событий Check Point - [https://support.checkpoint.com/results/sk/sk144192](https://support.checkpoint.com/results/sk/sk144192) # FortiGate-FortiAnalyzer (CEF)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

**FortiAnalyzer** — это аналитическая платформа для управления событиями, журналами и формирования отчетности, разработанная компанией Fortinet. В данной статье рассматривается настройка отправки событий FortiGate, которые централизованно собираются и хранятся в FortiAnalyzer. ### Настройка коллектора KUMA #### Создание коллектора KUMA Для приема и обработки событий FortiGate, отправляемых с FortiAnalyzer, необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне **Создание коллектора:** - На шаге **Подключение источников** укажите **Название коллектора** и **Тенант**, которому будет принадлежать создаваемый коллектор [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/zjximage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/zjximage.png) - На шаге **Транспорт** укажите **Тип коннектора** и **URL** (порт, выделенный сервису).

Для распределенной инсталяции укажите hostname:port сервера коллектора в поле **URL**

Указанные параметры должны соответствовать настройкам на стороне FortiAnalyzer

[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/kBFimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/kBFimage.png) - На шаге **Парсинг событий** нажмите **Добавить парсинг событий** и укажите нормализатор. Рекомендуется использовать community-нормализатор **FortiGate-FortiAnalyzer (CEF).** Как альтернативный вариант, можно использовать предустановленный нормализатор **\[OOTB\] CEF,** но данный нормализатор не обеспечивает парсинг специфичных полей FortiGate, например, virus, attack и других. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/4x1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/4x1image.png) - Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее. - На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/YG2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/YG2image.png) - На завершающем шаге **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/E3kimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/E3kimage.png) Также после выполнения вышеуказанных действий в разделе **Ресурсы** **>** **Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Ccwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Ccwimage.png) #### Установка коллектора KUMA Выполните подключение к CLI сервера KUMA (установка сервиса коллектора выполняется с правами root). Для установки сервиса коллектора выполните команду, скопированную на прошлом шаге. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Oweimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Oweimage.png) При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы. ```shell # Пример для firewalld firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent firewall-cmd --reload ``` После успешной установки сервиса в столбце **Статус** в веб-интерфейсе KUMA появится **зеленая индикация**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/H2uimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/H2uimage.png) --- ### Настройка FortiAnalyzer Пересылка событий FortiGate в KUMA выполняется средствами механизма Log Forwarding, доступного в FortiAnalyzer. Для настройки пересылки в веб-интерфейсе FortiAnalyzer: - Перейдите в **System Settings > Log Forwarding** - Нажмите **Create New** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/HHEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/HHEimage.png) - В появившемся окне **Create New Log Forwarding** укажите: - **Name** - KUMA CEF - **Status** - Включено - **Remote Server Type** - Common Event Format (CEF) - **Server FQDN/IP** - <IP-адрес или FQDN сервера коллектора KUMA> - **Server Port** - <Укажите порт, указанный на шаге **Транспорт** при создании сервиса коллектора> - **Reliable Connection** - Включено - Опционально фильтры в секции **Log Forwarding Filters** - Нажмите **ОК** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/P8simage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/P8simage.png) - Убедитесь, что параметры нового сервера для пересылки событий сохранены. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/jrRimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/jrRimage.png) --- ### Проверка поступления событий FortiGate в KUMA Для проверки, что пересылка событий FortiGate с FortiAnalyzer успешно настроена перейдите в **Ресурсы** > **Активные сервисы** > выберите ранее созданный коллектор FortiGate-FortiAnalyzer > ПКМ > **Перейти к событиям.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Jhvimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Jhvimage.png) В открывшемся окне **События** убедитесь, что присутствуют события FortiGate. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/Kdbimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/Kdbimage.png) --- ### Полезные ссылки - Настройка пересылки событий с помощью Log Forwarding:[ https://docs.fortinet.com/document/fortianalyzer/7.2.9/administration-guide/621804/log-forwarding](https://docs.fortinet.com/document/fortianalyzer/7.6.9/administration-guide/621804/log-forwarding) - Описание типов и полей событий FortiGate: [https://docs.fortinet.com/document/fortigate/7.2.8/fortios-log-message-reference/search](https://docs.fortinet.com/document/fortigate/7.2.8/fortios-log-message-reference/search) # Континент версия 4

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройки Континента Откройте Менеджер конфигурации Континента. В настройках узла безопасности раскройте пункт **Журналирование и оповещение**, затем нажмите ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-05/scaled-1680-/tJUimage.png) и пропишете IP адрес и порт коллектора KUMA, рекомендуется использовать протокол TCP. Уровени детализации журнала в Континенте (Рекомендуемый уровень детализации **Высокий**):
**Уровень детализации журнала****Уровень важности события**
ОтладочныйОтладка (DEBUG)
МинимальныйИнформация (INFO)
НизкийОшибка (ERR)
СреднийКритическая ошибка (CRIT)
ВысокийТревога (ALERT)
ПредустановленныйПредупреждение (Warning)
Пример настройки ниже: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-05/scaled-1680-/uecimage.png) Нажмите **Применить** и **ОК**. --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Usergate. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Континента. 2\. На шаге **Парсинг** событий выберите нормализатор **\[2024-05-03\] Unix AuditD (REGEX)** из папки нормализоторов Community-Pack. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Справка по Континенту версия 4 - [**тут**](https://docs.securitycode.ru/products/kontinent_4_1_7/Topics_Continent/Monitoring/NastrojkiParavrtrovSboraIHraneniyaZhurnalov/) Статья в HABR по интеграции Континента и KUMA - [https://habr.com/ru/companies/tssolution/articles/792078/](https://habr.com/ru/companies/tssolution/articles/792078/) # Mikrotik

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Инструкция применима для MikroTik с RouterOS 6 и 7+

### Настройка Mikrotik Настройка может выполняется с помощью WinBox (рассматривается этот метод), либо через веб-интерфейс MikroTik RouterOS под учетной записью с правами администратора или через командную строку. Перейдите в раздел **System - Logging**, во вкладке **Actions** добавляем новый элемент (по умолчанию используется протокол UDP): ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/11rimage.png) Cохраните настройку, нажав **Apply** и **OK**. Настройка через командную строку: ```bash /system logging action /system/logging/action> add bsd-syslog=yes name=kuma remote=(KUMA_IP) remote=KUMA_PORT syslog-facility=syslog target=remote ``` Каждое событие в журналах Mikrotik может находиться одновременно в разных Topics, пример ниже: ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/FPeimage.png) В правилах логирования необходимо укаказать Topics, не пересекающиеся в других правилах. Иными словами, нужно создать отдельные правила с указанием отдельных Topics и если необходимо указать исключения, для категорий событий, которые не нужно отправлять на коллектора, установите флаг **!** перед Topics. В раскрывающемся списке Action выберите созданное ранее действие kuma, затем нажмите **ОК**. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-12/scaled-1680-/yVuimage.png) Настройка через командную строку: ```bash /system logging add topics=critical prefix=critical action=kuma ```

При включении определенных Topics, особенно firewall может возрастать нагрузка на МЭ MikroTik, обращайте внимание на нагрузку системы после влючения логирования, особенно это касается моделей со слабой аппаратной начинкой

### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий MikroTik. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне MikroTik. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] MikroTik syslog.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. # Web # IIS

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка IIS сервера 1\. Откройте диспетчер служб IIS и перейдите в настройки требуемого сайта [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/JQMimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/JQMimage.png) 2\. В разделе IIS выберите "Ведение журнала". Задайте формат журнала "IIS" и укажите папку для хранения логов. После выполнения настроек в окне "Действия" нажмите применить. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/gfGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/gfGimage.png)

Формат логов должен быть именно **IIS** для возможности использования коробочного нормализатора Подробнее про данный формат логов: [https://learn.microsoft.com/en-us/windows/win32/http/iis-logging](https://learn.microsoft.com/en-us/windows/win32/http/iis-logging)

3\. По умолчанию лог IIS будет записан в папку `C:\inetpub\logs\LogFiles`. Для данной папки необходимо включить общий доступ на чтение. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/tOeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/tOeimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/wCKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/wCKimage.png) --- ### Монтирование папки в KUMA Для чтения файла логов коллектором KUMA необходимо примонтировать папку содержащую логи IIS сервера на сервер коллектора KUMA. 1\. Для начала необходимо установить утилиту **cifs**, если она еще не установлена. ```bash yum install -y cifs-utils ``` 2\. Далее необходимо создать файл с учетными данными пользователя для доступа к общей папке **/root/.iis-secret** со следующим содержимым: ```bash username=<имя пользователя с правами на чтение папки> password=<пароль пользователя> domain=<домен, в случае доменного пользователя> ``` 3\. Далее нужно создать папку на сервере коллектора KUMA, куда будет примонтирована папка с логами DNS сервера. ```bash mkdir /mnt/iis ``` 4\. Далее в конец файла `/etc/fstab` необходимо добавить строку ```bash \\<путь к общей папке сервера> <путь монтирования> cifs credentials=<файл с учетными данными>,cache=none 0 0 ``` Пример: ```bash \\iis.demo.lab\dhcp /mnt/iis cifs credentials=/root/.iis-secret,cache=none 0 0 ``` 5\. Далее необходимо примонтировать общую папку командой: ``` mount -a ``` Для проверки успешности монтирования можно выполнить следующую команду: ``` ls /mnt/iis ``` 6\. Убедитесь, что у пользователя kuma есть права на чтение файлов логов из данной директории, а также возможность просматривать директории по пути к логам. Альтернативно, можно назначить пользователя kuma владельцем примонтированной папки: ``` chown -R kuma:kuma /mnt/iis ``` --- ### Создание коллектора KUMA Для создания коллектора KUMA необходимо в веб-консоли KUMA перейти на вкладку **Ресурсы – Коллекторы** и нажать на кнопку **Добавить коллектор**. Также можно на вкладке **Ресурсы** выбрать пункт **Подключить источник**. В обоих случая откроется мастер подключения источников событий. На первом шаге мастера необходимо выбрать **Тенант**, которому будет принадлежать коллектор и также задать **Имя коллектора**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/GSiimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/GSiimage.png) На втором шаге мастера необходимо выбрать тип подключения **file** и указать **маску пути** для файлов логов IIS сервера. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Z3Nimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Z3Nimage.png) На третьем шаге мастера необходимо выбрать предустановленный нормализатор **\[OOTB\] IIS Log File Format**. В случае отсутствия указанного нормализатора, обратитесь к своему менеджеру для его получения. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Oyrimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Oyrimage.png) Шаги мастера с четвертого по шестой можно пропустить, либо заполнить позднее по своему усмотрению. На седьмом шаге мастера необходимо указать точки назначения типа **Хранилище**, если требуется сохранение событий в БД и типа **Коррелятор**, если требуется корреляция событий. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Vf2image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Vf2image.png) На последнем шаге мастера необходимо нажать на кнопку **Сохранить и создать сервис**, после чего скопировать появившуюся команду для дальнейшей установки сервиса коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/EVwimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/EVwimage.png) В результате на вкладке **Ресурсы – Активные сервисы** появится созданный сервис коллектора. --- ### Установка коллектора KUMA Для установки сервиса коллектора необходимо подключиться к консоли сервера коллектора KUMA. Для установки сервиса коллектора необходимо выполнить скопированную команду. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/pHQimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/pHQimage.png) В результате статус коллектора в веб-интерфейсе KUMA изменится на **зеленый**. Для поиска событий IIS можно использовать следующий запрос ```sql SELECT * FROM `events` WHERE DeviceProduct = 'IIS' ORDER BY Timestamp DESC LIMIT 250 ``` # Apache Access Syslog

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка Apache Для настройки пересылки access-лога веб-сервера apache в KUMA необходимо выполнить следующие действия: 1\. Подключитесь к веб-серверу Apache 2\. Создайте конфигурационный файл `/etc/rsyslog.d/apache-access.log.conf` и добавьте в него следующие строки: ```bash $ModLoad imfile $InputFileName /var/log/apache2/access.log $InputFileTag apache_access: $InputFileStateFile stat-apache-access $InputFileSeverity info $InputFileFacility local3 $InputRunFileMonitor $InputFilePollInterval 10 local3.* @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом: ```bash local3.* @@:<порт коллектора> ``` 3\. Перезапустите службу rsyslog. Для этого выполните команду: ```bash systemctl restart rsyslog ``` --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий Apache Access Log. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне Apache. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Apache Access Syslog (Common or Combined Log Format)**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. # 1С # 1C:Предприятие (новые версии)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Инсрукция на примере версии 8.3

## Настройки на стороне 1С

Конфигурация 1С выполняется от учетной записи, с правами локального администратора Windows.

### Выгрузка журнала регистрации информационной базы в локальную папку (JSON) 1. Запустите **1С:Предприятие**. 2. Выберите в списке информационную базу и нажмите кнопку 1С:Предприятие, затем введите данные учетной записи администратора и нажмите кнопку **Войти**. 3. В левой части окна нажмите **НСИ и администрирование**. 4. Откройте вкладку **Печатные формы, отчеты и обработки**. 5. Если не установлен флажок **Дополнительные отчеты и обработки**, установите его. 6. Откройте вкладку **Дополнительные отчеты и обработки**. 7. В панели инструментов вкладки нажмите кнопку **Добавить из файла**, затем в окне проводника **Выберите файл внешнего отчета или обработки**. Скачать архив [registration\_log\_json\_upload.zip](https://kb.kuma-community.ru/attachments/2) со сценарием для внешней обработки. 8. Выберите файл и нажмите кнопку **Открыть**. Откроется вкладка дополнительная обработка (создание). 9. В панели инструментов вкладки **нажмите Значок сохранить.** 10. На вкладке **Команды** выберите строку **Выгрузка журнала регистрации в формате JSON**. 11. Нажмите кнопку **Выполнить**. Откроется вкладка Выгрузка журнала регистрации в формате JSON. 12. В поле директория для хранения файлов введите путь для сохранения файлов журнала регистрации‚ например `С:\1С_Журнал`. 13. В поле **Интервал выгрузки в минутах** введите количество минут. за которые события журнала регистрации будут выгружаться в отдельный файл, рекомендуется `15` минут. 14. В поле **Дата выгрузки** выберите дату, с которой начнется выгрузка журнала регистрации. 15. Нажмите кнопку **Сохранить настройки** и подтвердите сохранение. 16. Закройте вкладку Выгрузка журнала регистрации в формате JSON. 17. На вкладке **Команды** в строке **Выгрузка журнала регистрации в формате JSON** установите **флажок**. Откроется окно **Расписание**. 18. Выберите вкладку **Дневное** и в поле **Повторять через** введите `900` (количество секунд в 15 минутах). Время начала и окончания оставьте без изменений (пустым). Нажмите кнопку **ОК**. 19. На вкладке **Команды** в строке **Удаление старых файлов** установите **флажок**. Откроется окно **Расписание**. 20. Выберите вкладку **Общие** и в поле **Повторять каждые** введите `1`. Нажмите кнопку **ОК**. 21. Нажмите кнопку **Записать и закрыть**. Должно получиться следующее: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/Tw4image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/Tw4image.png) ### Настройка журналирования событий технологического журнала Чтобы настроить журналирование событий технологического журнала на сервере «1С:Предприятия»: 1. Создайте конфигурационный файл `logcfg.xml`. Если вы используете Windows — в папке `<Папка установки` `"1С:Предприятия">\bin\conf`. 2. Добавьте в файл служебные строки: 3. ```xml ``` 4. Добавьте в файл в элемент `` строки с указанием пути для сохранения файлов журнала и времени хранения событий (в часах). Если вы используете Windows, укажите путь к общей папке: 5. ```xml ``` 6. Добавьте в файл в элемент `` строки с фильтрами событий из подпунктов ниже, затем **Сохраните** конфигурационный файл. 7. Настройте общий доступ к папкам с файлами журналов (сетевую файловую шару). #### Фильтры по типам событий - Успешная или неуспешная авторизация через толстый клиент, конфигуратор или СОМ-соединение ```xml ``` - Успешная авторизация через толстый клиент ```xml ``` - Ошибка авторизации через тонкий клиент ```xml ``` - Ошибка авторизации через веб-клиент ```xml ``` - Успешная авторизация через веб-клиент ```xml ``` - Успешно установлено соединение с сервером «1С:предприятия» ```xml ``` - Подключение к дизайнеру заблокировано другим пользователем ```xml ``` - Просмотр списка пользователей. подключенных к серверу «1С:Предприятия» ```xml ``` - Просмотр пользователем параметров информационной базы ```xml ``` #### Пример конфигурационного файла logcfg.xml ```xml ``` ## Монтирование папки к KUMA Монтирование папки с журналом можно сделать по аналогии с [**этой** ](https://kb.kuma-community.ru/books/integracii/page/montirovanie-papki-v-kuma)инструкцией. # Пересылка многострочных XML-файлов 1C с помощью Linux-агента

Зачастую создание файловых информационных ресурсов на хостах компании недопустимо с точки зрения действующих требований департамента информационной безопасности. В связи с этим использование стандартного коллектора 1с-xml с возможностью вычитки события через примонтированную к серверу коллектора шару реализовать невозможно.

##### 1. Настройка коллектора и агента KUMA для нормализации многострочных XML-файлов 1C **Конфигурация коллектора**
**Название поля****Значение поля****Описание**
Collector name\[xml\]\[1C\] - MultilineНазвание коллектора
Transport **→** KindtcpТип
Transport **→** URL:5180Локальный порт, который слушает коллектор
Event parsing **→** Name\[OOTB\] 1C EventJournal NormalizerНормализатор для многострочных XML-файлов 1C
**Конфигурация агента**
**Название поля****Значение поля****Описание**
Agent name\[xml\]\[1C\] - MultilineНазвание агента
Config **→** Connector **→** Namelocal - 1C-XMLНазвание коннектора
Config **→** Connector **→** Kind1c-xmlТип
Config **→** Connector **→** URL/opt/1cДиректория xml-файлов 1C
Config**→** Destinations **→** Name1C-XMLНазвание точки назначения
Config**→** Destinations **→** KindtcpТип
Config**→** Destinations **→** URL<KUMA-FQDN>:5180Сервер и порт коллектора для приема журналов 1C
[![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/Sctimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/Sctimage.png) --- ##### 2. Установка Linux-агента на хост для сбора XML-журналов 1C Для разового запуска Агента воспользуйтесь следующей командой: ```bash sudo /opt/kaspersky/kuma/kuma agent --core https://:7210 --id --wd /opt/kaspersky/agent/ ``` Для автоматизации процесса сбора событий [установите агент в качестве службы](https://kb.kuma-community.ru/link/54#bkmrk-%D0%A3%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0-%D0%B0%D0%B3%D0%B5%D0%BD%D1%82%D0%B0-%D0%B2-%D0%BA "установка агента в качестве службы"). Также можно воспользоваться утилитой **supervisor**. Для этого создайте конфигурационный файл (например, 1с.conf) в директории */etc/supervisor/conf.d/* со следующими настройками: ```bash [program:agent_5f45aee7-655c-4014-aacd-07e4548de8ae] command=sudo /opt/kaspersky/kuma/kuma agent --core https://:7210 --id --wd /opt/kaspersky/agent/ autostart=true autorestart=true ``` Для применения конфигурации перезагрузите службу: ```bash sudo systemctl restart supervisor ``` Для просмотра статуса и наличия ошибок воспользуйтесь следующей командой: ```bash sudo supervisorctl status ``` --- ##### 3. Проверка получения событий В веб-интерфейсе KUMA выберите коллектор и перейдите к событиям (Resources **→** Collector **→** Go to events). На основном экране появятся нормализованные события 1C, полученные с Linux-агента. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/scaled-1680-/9q8image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-08/9q8image.png) # 1С Битрикс (Bitrix) интеграция с KUMA

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройки на стороне 1С #### Создание пользователя для чтения логов 1\) Подключитесь к машине на которой установлен 1С:Управление сайтом и запустите консоль mysql под рутом (по умолчанию не требует пароля). ```bash mysql -u root ```

Если вы не знаете пароль, то его возможно восстановть, но это рекомендуется сначала делать на **тестовом стенде:** [https://dev.1c-bitrix.ru/community/forums/messages/forum32/topic63387/message727606/#message727606](https://dev.1c-bitrix.ru/community/forums/messages/forum32/topic63387/message727606/#message727606)

2\) В БД необходимо создать нового пользователя с правами на чтение журнала событий, вместо **10.10.10.10** укажите **IP KUMA.** ```sql CREATE USER 'kuma'@'10.10.10.10' IDENTIFIED BY 'password'; GRANT SELECT ON sitemanager.b_event_log TO 'kuma'@'10.10.10.10'; FLUSH PRIVILEGES; ``` ### Настройки на стороне KUMA 1\) Импортируйте ресурс (пароль q123123Q!): [https://box.kaspersky.com/f/622c0730465643948c20/](https://box.kaspersky.com/f/622c0730465643948c20/) 2\) Измените секрет для подключения **(Ресурсы** -> **Секреты** -> **1С: Управление сайтом**), если используются спец символы, то пароль можно будет использовать следующий ресурс для преобразования [https://www.urlencoder.org/](https://www.urlencoder.org/) ```url mysql://kuma:password@tcp(10.10.10.11:3306)/sitemanager ``` 5\) При создании коллектора выберите коннектор и парсер - 1C:Управление сайтом, затем укажите точки назначения и создайте сервис. # NXLog агент Альтернатива агента KUMA # Windows Агент NXLog NXLog Community Edition может использоваться в качетсве альтернативного агента для сбора и отправки событий с файлов или Event журналов Windows, ниже будут примеры конфигураций для этих настроек: ### Сбор с файлов - Загрузить Агент: [https://nxlog.co/products/nxlog-community-edition/download](https://nxlog.co/products/nxlog-community-edition/download) - Детали по маскам пути файлов: [https://docs.nxlog.co/refman/v5.5/im/file.html](https://docs.nxlog.co/refman/v5.5/im/file.html) - Лог ошибок агента: `C:\Program Files\nxlog\data\nxlog.log` - Конфигурация агента находится по пути: `C:\Program Files\nxlog\conf\nxlog.conf`

После каждой правки конфигурации необходмо перезагружать службу агента NXLog

Ниже пример конфигурации агента по cборe событий с файлов журналов WIndows DHCP и DNS с отправкой на коллектора KUMA по протоколу TCP: ```     Module  im_file     File    "C:\dhcp\Dhcp*.log"     #File    "C:\Windows\System32\dhcp\DhcpSrvLog*log"     Module  im_file     File    "C:\dns\dns.log"     Module        om_tcp     Host          10.68.85.125     Port          5177     Module        om_tcp     Host          10.68.85.125     Port          5178     Path          win_dhcp_file => to_kuma_dhcp     Path          win_dns_file => to_kuma_dns ``` ### Чтение и отправка Event журналов Ниже пример конфигурации агента по cборe событий с журналов WIndows EventLog и отправка по HTTP: ```     Module      xm_xml     Module  im_msvistalog     #Module  im_mseventlog     Exec    to_xml();     Module  om_http     URL     http://10.68.85.129:5140/input     Path          win_log => to_kuma ``` # Linux Агент NXLog NXLog Community Edition может использоваться в качетсве альтернативного агента для сбора и отправки событий с файлов на ОС Linux. - Необходимые пакеды для установки агента: [https://box.kaspersky.com/f/ca3202dbb39b4b5c929c/](https://box.kaspersky.com/f/ca3202dbb39b4b5c929c/) - Загрузить Агент (для установки на Oracle Linux используйте RHEL пакет): [https://nxlog.co/products/nxlog-community-edition/download](https://nxlog.co/products/nxlog-community-edition/download) - Конфигурация агента находится по пути: `/etc/nxlog/nxlog.conf` - Конфигурация сервиса находится по пути: `/etc/systemd/system/multi-user.target.wants/nxlog.service` - Опции запуска: - ExecStartPre=/usr/bin/nxlog -v - ExecStart=/usr/bin/nxlog -f - ExecStop=/usr/bin/nxlog -s - ExecReload=/usr/bin/nxlog -r # Cloud/Container/VM # Настройка аудита VMware ESXi и vCenter ### VMware ESXi #### Через веб-интерфейс Проверьте корректность настроек времени и часового пояса, проверить синхронизацию с NTP-сервером (принять во внимание, что ОС VMware ESXi работает только по UTC). Выполнить резервное копирование конфигурации ESXi-хоста. Через web-интерфейс подключиться к ESXi-хосту используя учетную запись root. В главном меню в разделе навигации развернуть вкладку Host и перейти по пути: **Host – Manage – Advanced Settings**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/UwEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/UwEimage.png) В окне поиска набрать **Syslog.global.LogHost**, выбрать параметр Syslog.global.LogHost и отредактировать его. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/EaKimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/EaKimage.png) Укажите протокол, адрес и порт коллектора KUMA и нажмите **Save**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/evGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/evGimage.png) Далее перейдите на вкладку **Networking – Firewall rules**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/c1Nimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/c1Nimage.png) Найдите правило syslog, выделите его (можно воспользоваться поиском) и включите его, нажав на **Actions – Enable**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/iO1image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/iO1image.png) #### Через SSH Настройку аудита можно выполнить через SSH. Включить доступ по SSH на ESXi-хосте, перейти по пунктам: **Host – Actions – Services – Enable Secure Shell (SSH)**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/YSEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/YSEimage.png) Подключитесь к ESXi-хосту по SSH используя учетную запись root (например через Putty). - Наберите команду: `esxcli system syslog config set --loghost=udp://192.168.1.250:514` (конфигурирование подключения к syslog-серверу, ip-адрес в команде не является легитимным и указан исключительно для примера). - Наберите команду: `esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true` (включение разрешающего правила фильтрации для syslog). - Наберите команду: `esxcli network firewall refresh` (обновление настроек межсетевого экрана ESXi-хоста). - Наберите команду: `esxcli system syslog config get` (проверка настроек syslog-службы ESXi-хоста): [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/EB9image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/EB9image.png) - Набрать команду: `esxcli system syslog reload` (перезагрузка syslog-службы ESXi-хоста). - Авторизоваться на ESXi-хосте, через его web-интерфейс под учетной записью с административными правами и **отключить доступ по SSH** (примечание: Согласно рекомендациям VMware, доступы по SSH и к ESXi-shell нужны только во время диагностических и аварийных работ). **(Опционально)** Если необходимо отправлять события **Syslog на другой порт назначения**, необходимо добавить правило для МЭ ESXi, для этого зайдите на хост по SSH. Создайте файл (используются классические Linux команды) со следующим содержимым, например для порта 5140 (назовем файл syslogPort-5140.xml): ```xml       syslogPort-5140           outbound       udp       dst       5140               outbound       tcp       dst       5140         false     false   ``` Для использования этого правила выполните команды ниже, и активируйте его: - `cp syslogPort-5140.xml  /etc/vmware/firewall/` - `esxcli network firewall unload` - `esxcli network firewall load` --- ### VMware vCenter Сделайте snapshot или выполните резервное копирование vCenter. Через web-браузер подключитесь к vCenter Server Appliance Management Inteface (VAMI) используя административную учетную запись (например, administrator@vsphere.local). Наберите в web-браузере: https://vcenter.test.local:5480 и ввести административные учетные данные (имя vcenter.test.local не является легитимным и указан для примера). Убедитесь в корректности настроек времени в разделе Time (часовой пояс указан в качестве примера, а тип синхронизации в «Филиале» будет индивидуально зависеть от указанных местных настроек). [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/qtOimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/qtOimage.png) Перейти в раздел **Syslog**, чтобы настроить Forwarding. Нажать кнопку **CONFIGURE**, укажите протокол, адрес и порт коллектора KUMA и нажмите **Save**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/azGimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/azGimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/ky7image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/ky7image.png) Отправьте тестовое сообщение: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/nxPimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/nxPimage.png) [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/scaled-1680-/awIimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2023-11/awIimage.png) # Kubernetes (k8s) via Rsyslog

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Общее Настройка логирования Kubernetes (k8s) выполняется путем модификации kube-apiserver. Подробное описание механизма аудита k8s приведено на официальном **[сайте](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)**. Данная инструкция предназначена для настройки аудита k8s для последующей передачи логов в KUMA. --- ### Настройка k8s 1\. Необходимо подключиться к ноде k8s с ролью control plane 2\. На ноде создаем директорию, куда будет помещена политика аудита ```bash sudo mkdir /etc/kubernetes/audit/ ``` 3\. В созданной директории создаем файл с политикой аудита `/etc/kubernetes/audit/audit-policy.yaml` любым удобным способом. Содержимое файла может варьироваться от целей логирования, ниже приведен пример политики с официального сайта.

Будьте внимательны, конфигурации в k8s как правило задаются в виде файлов YAML, которые чувствительны к отступам. Валидируйте файлы перед их применением во избежание ошибок.

Пример политики аудита k8s ```yaml apiVersion: audit.k8s.io/v1 # This is required. kind: Policy # Don't generate audit events for all requests in RequestReceived stage. omitStages: - "RequestReceived" rules: # Log pod changes at RequestResponse level - level: RequestResponse resources: - group: "" # Resource "pods" doesn't match requests to any subresource of pods, # which is consistent with the RBAC policy. resources: ["pods"] # Log "pods/log", "pods/status" at Metadata level - level: Metadata resources: - group: "" resources: ["pods/log", "pods/status"] # Don't log requests to a configmap called "controller-leader" - level: None resources: - group: "" resources: ["configmaps"] resourceNames: ["controller-leader"] # Don't log watch requests by the "system:kube-proxy" on endpoints or services - level: None users: ["system:kube-proxy"] verbs: ["watch"] resources: - group: "" # core API group resources: ["endpoints", "services"] # Don't log authenticated requests to certain non-resource URL paths. - level: None userGroups: ["system:authenticated"] nonResourceURLs: - "/api*" # Wildcard matching. - "/version" # Log the request body of configmap changes in kube-system. - level: Request resources: - group: "" # core API group resources: ["configmaps"] # This rule only applies to resources in the "kube-system" namespace. # The empty string "" can be used to select non-namespaced resources. namespaces: ["kube-system"] # Log configmap and secret changes in all other namespaces at the Metadata level. - level: Metadata resources: - group: "" # core API group resources: ["secrets", "configmaps"] # Log all other resources in core and extensions at the Request level. - level: Request resources: - group: "" # core API group - group: "extensions" # Version of group should NOT be included. # A catch-all rule to log all other requests at the Metadata level. - level: Metadata # Long-running requests like watches that fall under this rule will not # generate an audit event in RequestReceived. omitStages: - "RequestReceived" ```
4\. Далее создаем директорию, в которую будут записаны логи аудита k8s ```bash sudo mkdir -p /var/log/kubernetes/audit/ ``` 5\. Далее необходимо будет внести изменения в конфигурацию пода kube-apiserver. Перед этим настоятельно рекомендуется сделать резервную копию конфигурации, например, следующей командой из вашей рабочей директории: ```bash sudo cp /etc/kubernetes/manifests/kube-apiserver.yaml . ``` 6\. Вносим изменение в kube-apiserver с помощью команды: ``` sudo vi /etc/kubernetes/manifests/kube-apiserver.yaml ``` 7\. В секции `spec.containers.command` указываем следующие флаги, соблюдая отступы: ```yaml - --audit-policy-file=/etc/kubernetes/audit/audit-policy.yaml - --audit-log-path=/var/log/kubernetes/audit/audit.log ``` Где `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита, а `/var/log/kubernetes/audit/audit.log` - путь к файлу для записи логов. 8\. Дополнительно можно определить другие параметры логирования, такие как размер файла логов и количество файлов (подробное описание параметров можно найти [тут](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/#log-backend)): ```yaml - --audit-log-maxsize=500 - --audit-log-maxbackup=3 ```
Настройка секции spec.containers.command ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/CZAimage.png)
9\. Далее в том же файле создаем соответствующие тома и точки монтирования для политики и директории для хранения логов 10\. В секцию `volumes` добавляем следующее соблюдая отступы: ```yaml - hostPath: path: /etc/kubernetes/audit/audit-policy.yaml type: File name: audit - hostPath: path: /var/log/kubernetes/audit/ type: DirectoryOrCreate name: audit-log ``` Здесь `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита, а `/var/log/kubernetes/audit/audit.log` - путь к файлу для записи логов.
Настройка секции volumes ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/QByimage.png)
11\. В секцию `volumeMounts` добавляем следующее соблюдая отступы: ```yaml - mountPath: /etc/kubernetes/audit/audit-policy.yaml name: audit readOnly: true - mountPath: /var/log/kubernetes/audit/ name: audit-log readOnly: false ```
Настройка секции volumeMounts ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/4Wyimage.png)
12\. Сохраняем все внесенные в файл измнения. Т.к. была изменена конфигурация kube-apiserver, то под будет пересоздан, что может потребовать примерно до 1 минуты времени. Если под не смог подняться, необходимо проверить все внесенные изменения на предмет ошибок и опечаток, а также изучить логи по пути `/var/log/pods/` Если все было сделано правильно, то под kube-apiserver поднимется и в директории /var/log/kubernetes/audit/ появится файл audit.log и начнет наполняться логами k8s. --- ### Настройка Rsyslog

Настройки ниже приведены для deb-систем.

1\. Установка rsyslog ```bash apt install rsyslog ``` 2\. Включение и запуск службы rsyslog ```bash systemctl enable rsyslog.service systemctl start rsyslog.service ``` 3\. Создание файла конфигурации для отправки через rsyslog файла лога k8s ```bash nano /etc/rsyslog.d/k8s.conf ``` Пример содержимого файла с отправкой по TCP: ```bash $ModLoad imfile $InputFileName /var/log/kubernetes/audit/audit.log $InputFileTag tag_k8s_log: $InputFileStateFile k8s_log $InputFileSeverity info $InputFileFacility local6 $InputRunFileMonitor local6.* @@10.10.10.10:7777 ``` Где 10.10.10.10 - адрес коллектора KUMA, 7777 - порт коллектора KUMA Для отправки событий по протоколу UDP последнюю строчку следует заменить на: ```bash local6.* @10.10.10.10:7777 ``` 4\. После сохранения изменений в файле необходимо перезапустить сервис Rsyslog командой: ```bash systemctl restart rsyslog.service ``` --- ### Настройка коллектора KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `k8s`. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Kubernetes*. 2\. На шаге **Парсинг** событий выберите нормализатор **k8s via syslog**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Пакет контента для k8s: [https://github.com/KUMA-Community/kuma\_content/tree/main/rules/app/kubernetes](https://github.com/KUMA-Community/kuma_content/tree/main/rules/app/kubernetes) Документация по настройке аудита k8s: [https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/) # Kubernetes (k8s) via webhook

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Данный способ является экспериментальным. Рекомендуемый способ приведен в статье **[k8s via rsyslog](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/kubernetes-k8s-via-rsyslog)**

### Общее Настройка логирования Kubernetes (k8s) выполняется путем модификации kube-apiserver. Подробное описание механизма аудита k8s приведено на официальном **[сайте](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/)**. Данная инструкция предназначена для настройки аудита k8s для последующей передачи логов в KUMA. --- ### Настройка k8s 1\. Необходимо подключиться к ноде k8s с ролью control plane 2\. На ноде создаем директорию, куда будет помещена политика аудита ```bash sudo mkdir /etc/kubernetes/audit/ ``` 3\. В созданной директории создаем файл с политикой аудита `/etc/kubernetes/audit/audit-policy.yaml` любым удобным способом. Содержимое файла может варьироваться от целей логирования, ниже приведен пример политики с официального сайта.

Будьте внимательны, конфигурации в k8s как правило задаются в виде файлов YAML, которые чувствительны к отступам. Валидируйте файлы перед их применением во избежание ошибок.

Пример политики аудита k8s ```yaml apiVersion: audit.k8s.io/v1 # This is required. kind: Policy # Don't generate audit events for all requests in RequestReceived stage. omitStages: - "RequestReceived" rules: # Log pod changes at RequestResponse level - level: RequestResponse resources: - group: "" # Resource "pods" doesn't match requests to any subresource of pods, # which is consistent with the RBAC policy. resources: ["pods"] # Log "pods/log", "pods/status" at Metadata level - level: Metadata resources: - group: "" resources: ["pods/log", "pods/status"] # Don't log requests to a configmap called "controller-leader" - level: None resources: - group: "" resources: ["configmaps"] resourceNames: ["controller-leader"] # Don't log watch requests by the "system:kube-proxy" on endpoints or services - level: None users: ["system:kube-proxy"] verbs: ["watch"] resources: - group: "" # core API group resources: ["endpoints", "services"] # Don't log authenticated requests to certain non-resource URL paths. - level: None userGroups: ["system:authenticated"] nonResourceURLs: - "/api*" # Wildcard matching. - "/version" # Log the request body of configmap changes in kube-system. - level: Request resources: - group: "" # core API group resources: ["configmaps"] # This rule only applies to resources in the "kube-system" namespace. # The empty string "" can be used to select non-namespaced resources. namespaces: ["kube-system"] # Log configmap and secret changes in all other namespaces at the Metadata level. - level: Metadata resources: - group: "" # core API group resources: ["secrets", "configmaps"] # Log all other resources in core and extensions at the Request level. - level: Request resources: - group: "" # core API group - group: "extensions" # Version of group should NOT be included. # A catch-all rule to log all other requests at the Metadata level. - level: Metadata # Long-running requests like watches that fall under this rule will not # generate an audit event in RequestReceived. omitStages: - "RequestReceived" ```
4\. В этой же директории создаем файл `/etc/kubernetes/audit/audit-webhook.yaml` любым удобным способом. Пример содержимого файла приведен ниже: ```yaml apiVersion: v1 kind: Config preferences: {} clusters: - name: kube-auditing cluster: server: http://10.10.10.10:7777/input users: [] contexts: - name: default-context context: cluster: kube-auditing user: "" current-context: default-context ``` Где 10.10.10.10 - адрес коллектора KUMA, а 7777 - порт коллектора. Все прочие параметры из примера можно оставлять без изменений.5. Далее создаем директорию, в которую будут записаны логи аудита k8s 5\. Далее необходимо будет внести изменения в конфигурацию пода kube-apiserver. Перед этим настоятельно рекомендуется сделать резервную копию конфигурации, например, следующей командой из вашей рабочей директории: ```bash sudo cp /etc/kubernetes/manifests/kube-apiserver.yaml . ``` 6\. Вносим изменение в kube-apiserver с помощью команды: ``` sudo vi /etc/kubernetes/manifests/kube-apiserver.yaml ``` 7\. В секции `spec.containers.command` указываем следующие флаги, соблюдая отступы: ```yaml - --audit-webhook-config-file=/etc/kubernetes/audit/audit-webhook.yaml - --audit-webhook-mode=batch - --audit-webhook-batch-max-size=1 ``` Где `/etc/kubernetes/audit/audit-policy.yaml` - путь к политике аудита.
Настройка секции spec.containers.command ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/S5Timage.png)
9\. Далее в том же файле создаем соответствующий том и точку монтирования для политик 10\. В секцию `volumes` добавляем следующее соблюдая отступы: ```yaml - hostPath: path: /etc/kubernetes/audit/ type: DirectoryOrCreate name: k8s-audit ``` Здесь `/etc/kubernetes/audit/` - путь к директории с политикой аудита и настройками webhook
Настройка секции volumes ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/dQsimage.png)
11\. В секцию `volumeMounts` добавляем следующее соблюдая отступы: ```yaml - mountPath: /etc/kubernetes/audit/ name: k8s-audit readOnly: true ```
Настройка секции volumeMounts ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-10/scaled-1680-/QS2image.png)
12\. Сохраняем все внесенные в файл измнения. Т.к. была изменена конфигурация kube-apiserver, то под будет пересоздан, что может потребовать примерно до 1 минуты времени. Если под не смог подняться, необходимо проверить все внесенные изменения на предмет ошибок и опечаток, а также изучить логи по пути `/var/log/pods/` --- ### Настройка коллектора KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `k8s`. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Kubernetes (`audit-webhook.yaml)`*. 2\. На шаге **Парсинг** событий выберите нормализатор **k8s via webhook**. 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Пакет контента для k8s: [https://github.com/KUMA-Community/kuma\_content/tree/main/rules/app/kubernetes](https://github.com/KUMA-Community/kuma_content/tree/main/rules/app/kubernetes) Документация по настройке аудита k8s: [https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/) # Docker via syslog

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Общее Настройка логирования Docker выполняется путем модификации `/etc/docker/daemon.json`, либо точечно для каждого контейнера через указание соответствующих параметров при запуске. В данной статье будет рассмотрен первый вариант. --- ### Настройка Docker 1\. Необходимо подключиться к ноде Docker 2\. На ноде создать файл конфигурации `/etc/docker/daemon.json`, либо внести изменения в существующий. Пример файла конфигурации представлен ниже. ```json { "log-driver": "syslog", "log-opts": { "syslog-address": "tcp://10.10.10.10:6688", "tag": "{{.ID}}/{{.Name}}", "syslog-format": "rfc5424" } } ``` Где, `10.10.10.10` - адрес коллектора KUMA, `66888` - порт коллектора KUMA. При необходимости можно также переопределить протокол передачи, формат логов и тегирование. Подробности см. по ссылке в конце статьи. 3\. После внесения изменения в файл необходимо перезапустить службу Docker'а: ```bash systemctl restart docker.service ``` В результате внесенных изменений события от Docker будут перенаправляться на сервис коллектора KUMA в соответствии с указанными параметрами.

Альтернативно можно настроить логирование на стороне Docker в файл и перенаправлять его содержимое через rsyslog или путем монтирования папки/установки агента KUMA.

--- ### Настройка коллектора KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий `Docker`. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне *Docker*. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] Syslog**.

В дальнейшем можно использовать кастомные парсеры в зависимости от приложений, работающих в контейнерах Docker.

3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: **- Хранилище**. Для отправки обработанных событий в хранилище. **- Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Документация по настройке syslog в Docker: [https://docs.docker.com/engine/logging/drivers/syslog/](https://docs.docker.com/engine/logging/drivers/syslog/) # Dr.Web Enterprise Security Suite

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://cdn-download.drweb.com/pub/drweb/esuite/13.0.1/documentation/html/ru/admin\_manual/index.html?notifications\_configure.htm](https://cdn-download.drweb.com/pub/drweb/esuite/13.0.1/documentation/html/ru/admin_manual/index.html?notifications_configure.htm)

### Настройка на стороне Dr.WEB Enterprise Security Suite Настройка производится под встроенным УЗ admin в его разделе **Администрирование → Конфигурация оповещений** У него два блока настроек оповещений: - первый настроен под email; - второй (SIEM KUMA) под Syslog. Для настройки в этой версии сервера Dr.Web лучше прямо под встроенным УЗ admin в консоль заходить. У других админов этот блок может быть не всегда виден, либо не работать кнопка тестового события, либо ещё что-то. ![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2024-09/scaled-1680-/SJHimage.png) Настройка коллектора KUMA по аналогии с этой главой (предварительно выберите тип коннектора **UDP**) - [**ссылка**](https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ksc-cef#bkmrk-%D0%9D%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D0%BA%D0%BE%D0%BB%D0%BB%D0%B5%D0%BA%D1%82%D0%BE%D1%80%D0%B0) Рекомендуемый парсер (без агрегации/склейки событий) для правил корреляции Community - **\[2024-09-23\] Dr. Web CEF** (из Community-Pack) # PostgreSQL

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm)

### Установка плагина pgAudit Чтобы установить плагин pgAudit: 1\. В командном интерпретаторе выполните команды под учетной записью с правами администратора: ```bash sudo apt update sudo apt -y install postgresql-<версия базы данных PostgreSQL>-pgaudit ``` Версию плагина необходимо выбрать в зависимости от версии СУБД PostgresSQL. Информацию о версиях СУБД PostgreSQL и необходимых версиях плагина см.по ссылке: [https://github.com/pgaudit/pgaudit#postgresql-version-compatibility](https://github.com/pgaudit/pgaudit#postgresql-version-compatibility).

Пример: `sudo apt -y install postgresql-12-pgaudit`

2\. Найдите конфигурационный файл `postgres.conf`. Для этого **в командной строке СУБД PostgresSQL** выполните команду: ``` SHOW config_file; ``` В ответе будет указано расположение конфигурационного файла. 3\. Создайте резервную копию конфигурационного файла `postgres.conf`. Откройте файл `postgres.conf` и скопируйте или замените имеющиеся значения на указанные ниже. ```bash ## pgAudit settings shared_preload_libraries = 'pgaudit' ## database logging settings log_destination = 'syslog' ## syslog facility syslog_facility = 'LOCAL0' ## event ident syslog_ident = 'Postgres' ## sequence numbers in syslog syslog_sequence_numbers = on ## split messages in syslog syslog_split_messages = off ## message encoding lc_messages = 'en_US.UTF-8' ## min message level for logging client_min_messages = log ## min error message level for logging log_min_error_statement = info ## log checkpoints (buffers, restarts) log_checkpoints = off ## log query duration log_duration = off ## error description level log_error_verbosity = default ## user connections logging log_connections = on ## user disconnections logging log_disconnections = on ## log prefix format log_line_prefix = '%m|%a|%d|%p|%r|%i|%u| %e ' ## log_statement log_statement = 'none' ## hostname logging status. dns bane resolving affect #performance! log_hostname = off ## logging collector buffer status #logging_collector = off ## pg audit settings pgaudit.log_parameter = on pgaudit.log='ROLE, DDL, MISC, FUNCTION' ``` 4\. Перезапустите службу СУБД PostgreSQL при помощи команды: ```bash sudo systemctl restart postgresql ``` 5\. Чтобы загрузить плагин pgAudit в СУБД PostgreSQL, в командной строке СУБД PostgreSQL выполните команду: ``` CREATE EXTENSION pgaudit; ``` --- ### Настройка Syslog для отправки событий Чтобы настроить передачу событий от сервера, на котором установлена PostgreSQL, в коллектор: 1\. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду: ``` sudo systemctl status rsyslog.service ``` Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды: ```bash yum install rsyslog sudo systemctl enable rsyslog.service sudo systemctl start rsyslog.service ``` В каталоге `/etc/rsyslog.d/` создайте файл `pgsql-to-siem.conf` со следующим содержанием: ```bash If $programname contains 'Postgres' then @:<порт коллектора> ``` Если вы хотите отправлять события по протоколу TCP, содержимое файла должно быть таким: ```bash If $programname contains 'Postgres' then @@:<порт коллектора> ``` В конфигурационный файл `/etc/rsyslog.conf` добавьте следующие строки: ```bash $IncludeConfig /etc/rsyslog.d/pgsql-to-siem.conf $RepeatedMsgReduction off ``` Перезапустите сервис rsyslog, выполнив следующую команду: ``` sudo systemctl restart rsyslog.service ``` --- ### Настройка KUMA После того как параметры передачи событий настроены, требуется создать коллектор в веб-интерфейсе KUMA для событий pgAudit. 1\. На шаге **Транспорт** укажите тип и порт в соответствии с настройками на стороне pgAudit. 2\. На шаге **Парсинг** событий выберите нормализатор **\[OOTB\] PostgreSQL pgAudit syslog.** 3\. На шаге **Маршрутизация** проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения: - **Хранилище**. Для отправки обработанных событий в хранилище. - **Коррелятор**. Для отправки обработанных событий в коррелятор. Если точки назначения **Хранилище** и **Коррелятор** не добавлены, создайте их. 4\. На шаге **Проверка параметров** нажмите **Сохранить и создать сервис**. 5\. Скопируйте появившуюся команду для установки коллектора KUMA. --- ### Полезные ссылки Настройка получения событий pgAudit (онлайн-справка KUMA): [https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm](https://support.kaspersky.com/help/KUMA/2.1/ru-RU/251880.htm) # Битрикс24 (Bitrix24) CRM

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

### Настройка Битрикс24 CRM В данной статье рассматривается вариант, когда в качестве базы данных Битрикс24 CRM используется MySQL. Все настройки выполняются **в** **консоли** сервера БД с помощью утилиты **mysql**. Вы можете использовать наиболее привычный для Вас способ.

Протестировано на версии Битрикс24 CRM 24.0.400

#### Создание пользователя БД и предоставление прав - В консоли сервера выполните подключение к БД MySQL с правами администратора (по умолчанию **root**). ``` mysql -u root -p ```

Если пароль для пользователя **root** не установлен, попробуйте подключиться без `-p`

- Создайте нового пользователя, который сможет подключаться к серверу MySQL только с IP-адреса сервера KUMA (коллектора KUMA в случае распределенной инсталляции). ```mysql CREATE USER 'kuma'@'10.10.10.10' IDENTIFIED BY '<задайте пароль>'; ``` - Предоставьте пользователю права доступа. В данном случае предоставляется право выполнять операцию `SELECT` (только чтение) к таблице `b_event_log` в базе данных `sitemanager`. ```mysql GRANT SELECT ON sitemanager.b_event_log TO 'kuma'@'10.10.10.10'; ``` - MySQL автоматически обновит привилегии для нового пользователя. - Чтобы убедиться, что права были предоставлены корректно, выполните следующую команду для отображения прав созданного пользователя: ```mysql SHOW GRANTS FOR 'kuma'@'10.10.10.10'; ```

По умолчанию сервер MySQL настроен на работу только с локальным подключением через `localhost.` При необходимости разрешите удаленные запросы и входящие соединения на порт TCP/3306 (используется по умолчанию) на локальном МЭ.

Настройка KUMA #### Импорт набора ресурсов Битрикс24 CRM MySQL - Выполните импорт набора ресурсов KUMA для [Битрикс24 CRM MySQL](https://raw.githubusercontent.com/KUMA-Community/kuma_content/refs/heads/main/normalizers/Other/%D0%91%D0%B8%D1%82%D1%80%D0%B8%D0%BA%D1%8124%20CRM%20MySQL%20(SQL)) (пароль `q123123Q!q123123Q!`). #### Настройка секрета - В веб-интерфейсе KUMA внесите изменения в ресурс Секрета **Битрикс24 CRM MySQL,** импортированный на предыдущем шаге, указав актуальные учетные данные для подключения к БД MySQL: - Перейдите в **Ресурсы** > **Секреты**. - Выберите секрет **Битрикс24 CRM MySQL** и укажите **Пользователя** и **Пароль.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/n9Himage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/n9Himage.png) #### Настройка коннектора - В веб-интерфейсе KUMA внесите изменения в ресурс Коннектора **Битрикс24 CRM MySQL,** импортированный на предыдущем шаге, указав актуальный URL-адрес сервера MySQL: - Перейдите в раздел **Ресурсы** > **Коннекторы.** - Выберите коннектор **Битрикс24 CRM MySQL** и укажите актуальный URL-адрес сервера MySQL. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/ojeimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/ojeimage.png)

В поле URL можно указать FQDN или IP-адрес сервера MySQL: mysql://user:password@tcp(mysql.example.com:3306)/sitemanager mysql://user:password@tcp(10.10.10.11:3306)/sitemanager

В качестве идентификатора используется столбец ID. При необходимости Вы можете использовать столбец TIMESTAMP\_X (если требуется собирать события, начиная с определенной даты) . Для этого измените значение в параметре **Столбец идентификатора** и внесите изменения в применяемый SQL-запрос.

#### Создание коллектора Для сбора событий Битрикс24 CRM необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе KUMA перейдите в раздел **Ресурсы** и нажмите на кнопку **Подключить источник.** В появившемся окне мастера настройки **Создание коллектора:** - На первом шаге (**Подключение источников**) выберите **Имя коллектора** и **Тенант**, к которому будет относиться создаваемый коллектор. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/6Ndimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/6Ndimage.png) - На втором шаге мастера (**Транспорт**) укажите ранее созданный коннектор для подключения к БД MySQL. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/u8Timage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/u8Timage.png) - На третьем шаге мастера укажите импортированный ранее нормализатор **Битрикс24 CRM MySQL.** [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/uQTimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/uQTimage.png) - Шаги мастера настройки с четвертого по шестой (**Фильтрация событий**, **Агрегация событий** и **Обогащение событий**) можно пропустить и вернуться к их настройке позднее. - На седьмом шаге **Маршрутизация** задайте точки назначения. Для хранения событий добавьте точку назначения типа **Хранилище (Storage)**. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа **Коррелятор (Correlator)**. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/X4timage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/X4timage.png) - На завершающем шаге мастера **Проверка параметров** нажмите на кнопку **Сохранить** **и создать сервис**. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/hZEimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/hZEimage.png) - Нажмите **Сохранить**. - После выполнения вышеуказанных действий в разделе **Ресурсы** > **Активные сервисы** появится созданный сервис коллектора. [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/scaled-1680-/QQWimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-03/QQWimage.png) #### Установка коллектора KUMA - Выполните подключение к CLI сервера KUMA (коллектора KUMA при распределенной инсталляции). - Для установки сервиса коллектора в командной строке выполните команду под учетной записью root, скопированную на прошлом шаге. - После успешной установки сервиса его статус в веб-интерфейсе KUMA изменится на **Вкл** с **зеленой индикацией**. #### Проверка поступления событий - Для проверки, что сбор событий Битрикс24 CRM из БД MySQL успешно настроен перейдите в **Ресурсы** > **Активные сервисы** > выберите ранее созданный коллектор Битрикс24 CRM MySQL > нажмите ПКМ > **Перейти к событиям.** - В открывшемся окне **События** убедитесь, что присутствуют события Битрикс24 CRM. # ClickHouse (сбор событий аудита БД)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и **НЕ** является официальной рекомендацией вендора.

Для настройки базового аудита Clickhouse понадобится: 1\. Для логирования обычных запросов (в том числе grant, create, drop) включить логирование в основном файле (по умолчанию включено): ```bash /etc/clickhouse-server/config.xml ``` в секции logger как минимум необходимо задать формат information ```xml ######################################### information ######################################### ``` 2\. Для логирования подключений, таких как: - Login пользователя - Failure logon - Logout пользователя потребуется создать отдельный файл ```bash /etc/clickhouse-server/config.d/session_log.xml ``` с содержимым: ```xml system session_log
7500
``` 3\. Перезапустить службу командой systemctl restart clickhouse-server В базе system появится новая таблица со следующими колонками: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/scaled-1680-/s17image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-01/s17image.png) Создаём пользователя для подключения к БД для KUMA и выдаём ему необходимые права следующим командами (с использованием ранее настроенного аудита): ```sql ###Шаг 1. Создание пользователя для коллектора KUMA CREATE USER kuma HOST IP '10.10.10.1/32' IDENTIFIED WITH sha256_password BY 'supersecretpassword'; ####Шаг 2. Создание VIEW для вывода нескольких запросов CREATE VIEW combined_logs AS SELECT event_time AS timestamp, query_kind AS deviceAction, user AS userName, toString(initial_address) AS sourceAddress, exception AS msg, query AS requestUrl, query_duration_ms AS dcs1, memory_usage AS dcs2 FROM system.query_log WHERE query_kind IN ('Grant', 'Create', 'Drop') OR query_duration_ms > '600000' OR memory_usage > '1000000000' ORDER BY timestamp DESC UNION ALL SELECT event_time AS timestamp, type AS deviceAction, user AS userName, toString(client_address) AS sourceAddress, failure_reason AS msg, NULL AS request_url, NULL AS dcs1, NULL AS dcs2 FROM system.session_log WHERE type = 'LoginFailure' ####Шаг 3. Назначение прав на VIEW GRANT SELECT ON combined_logs TO kuma ``` Пример как выглядит вывод VIEW: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/scaled-1680-/wd5image.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/wd5image.png) Настройка инстанса завершена, можно приступать к подключению логов в KUMA. Итого данной View мы выводим следующие события: - Login пользователя - Failure logon - Logout пользователя - Длительный запрос в базу (более 10 минут, как пример)(условие query\_duration\_ms > '600000' в запросе ) - Большое потребление памяти при запросе (более 1 Гб, как пример)(условие memory\_usage > '1000000000') - Создание пользователя - Назначение прав пользователю - Удаление пользователя В KUMA необходимо создать коллектор с транспортом sql (плейсхолдер для Clickhouse - ?) и параметрами как на скриншоте: [![image.png](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/scaled-1680-/7Ygimage.png)](https://kb.kuma-community.ru/uploads/images/gallery/2025-02/7Ygimage.png) Выбираем нормализатор Clickhouse ([доступен в Community pack](https://kas.pr/kuma-ppack)), добавляем необходимые точки назначения и инсталлируем службу коллектора. Либо, если нам **не нужны события входа в БД** можем использовать запрос только в таблицу по умолчанию: ```sql ###Шаг 1. Создание пользователя для коллектора KUMA CREATE USER kuma HOST IP '10.10.10.1/32' IDENTIFIED WITH sha256_password BY 'supersecretpassword'; ####Шаг 2. Назначение прав на выполнение SELECT к system.query_log GRANT SELECT ON system.query_log TO kuma ####Шаг 3. Используем запрос для KUMA коллектора SELECT event_time AS timestamp, query_kind AS deviceAction, user AS userName, toString(initial_address) AS sourceAddress, exception AS msg, query AS requestUrl, query_duration_ms AS dcs1, memory_usage AS dcs2 FROM system.query_log WHERE query_kind IN ('Grant', 'Create', 'Drop') OR query_duration_ms > '600000' OR memory_usage > '1000000000' AND timestamp > ? ORDER BY timestamp DESC ``` # ALD Pro отправка логов Ссылка на документацию вендора: [https://wiki.astralinux.ru/kb/nastrojka-syslog-ng-dlya-peredachi-logov-v-siem-sistemu-348162837.html](https://wiki.astralinux.ru/kb/nastrojka-syslog-ng-dlya-peredachi-logov-v-siem-sistemu-348162837.html) Файл pdf: [Настройка\_syslog\_ng\_для\_передачи\_логов\_в\_SIEM\_систему\_v1\_20250218.pdf](https://kb.kuma-community.ru/attachments/1)