Skip to main content

Новая страница

Сбор событий с помощью KICS4Nodes (2.5)

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Создание коллектора KUMA

Для создания коллектора в веб-интерфейсе KUMA:

    Перейдите в раздел Ресурсы и нажмите на кнопку Подключить источник. В появившемся окне мастера настройки Создание коллектора на первом шаге (Подключение источников) выберите Имя коллектора и Тенант, к которому будет принадлежать создаваемый коллектор.

    image.png

    На втором шаге мастера (Транспорт) укажите параметры коннектора для взаимодействия с подключаемым источником:

      Тип – tcp/udp. В данном примере tcp. URL – FQDN:порт (порт, на котором коллектор будет ожидать входящие подключения. Выбирается любой из незанятых, выше 1024). В данном примере 2998.

      image.png

       

      На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать «коробочный» нормализатор [OOTB] KESL json

      image.png

        Шаги мастера настройки с четвертого по шестой являются опциональными, их можно пропустить и вернуться к настройке позднее. На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа Хранилище. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа Коррелятор.

        image.png

          На завершающем шаге мастера нажмите на кнопку Создать и сохранить сервис. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки.

          image.png

           

            Нажмите Сохранить. После выполнения вышеуказанных действий в разделе Ресурсы → Активные сервисы появится созданный сервис коллектора.

            image.png

             

            Настройка источника событий

            Для передачи событий c рабочей станции/сервера в коллектор KUMA требуется настроить политику KESL на стороне KSC 

            При разработке статьи использовался плагин KICS4Nodes (2.5)

              Перейдите в политику устройства Kaspersky Industrial CyberSecurity for Linux Nodes 2.5. Далее Параметры приложения, перейдите в параметр Detection and Response, далее Интеграция с KUMA, переключите тумблер в активное состояние

              image.png

                Далее, добавьте подключение. Укажите IP-адрес, где был установлен коллектор KUMA, протокол - TCP, порт на котором коллектор принимает событий, в примере 2998. OK

                image.png

                  Перейдите в политику устройства Kaspersky Industrial CyberSecurity for Linux Nodes 2.5. Далее Параметры приложения, перейдите в параметр Общие параметры, далее Параметры Уведомлений 

                  image.png

                    Переключите тумблер в активное состояние, перейдите в Параметры настройки уведомлений

                    image.png

                    Выберите передаваемые события с устройств, ОК

                    image.png

                    Убедитесь, что на конечном устройстве добавлены лицензии KICS for Nodes 2.0 ,  в том числе KICS for Nodes KUMA Integration Add-on,  без этого ключа события в  KUMA не будут отправляться

                    image.png

                      Убедитесь, что в открывшемся окне Событий в  KUMA присутствуют события с устройств

                      image.png