Skip to main content

KSC CEF

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в Онлайн-справке на продукт: https://support.kaspersky.com/KUMA/2.1/ru-RU/241235.htm

Функция экспорта событий Kaspersky Security Center в SIEM-системы в формате CEF доступна при наличии лицензии Kaspersky Endpoint Security для бизнеса Расширенный или выше.

С версии KSC от 15.1 наличие лицензии не важно. Подробнее: https://support.kaspersky.ru/ksc/15.1/12521 

Создание коллектора в  KUMA

Предварительно перед настройкой параметров передачи событий Kaspersky Security Center в формате CEF требуется создать коллектор в веб-интерфейсе KUMA.

 

1.        Для создания коллектора в веб-интерфейсе KUMA перейдите в раздел Ресурсы и нажмите на кнопку Подключить источник.

2.      В появившемся окне мастера настройки Создание коллектора на первом шаге (Подключение источников) выберите Имя коллектора и Тенант, к которому будет принадлежать создаваемый коллектор.

 

 

image.png

 

3.      На втором шаге мастера (Транспорт) укажите параметры коннектора для взаимодействия с подключаемым источником:

·         Тип – tcp/udp. В данном примере выберите tcp.

·         URL – FQDN:порт (порт, на котором коллектор будет ожидать входящие подключения. Выбирается любой из незанятых, выше 1024). В данном примере будет использоваться 5153.

 

В поле URL можно указать только порт при инсталляции All-in-one.

 

 

image.png

  

4.       На третьем шаге мастера укажите нормализатор. В данном случае рекомендуется использовать «коробочный» нормализатор [OOTB] KSC.

image.png

 

 

5.      Шаги мастера настройки с четвертого по шестой являются опциональными, их можно пропустить и вернуться к настройке позднее.

 

6.      На седьмом шаге мастера задайте точки назначения. Для хранения событий добавьте точку назначения типа Хранилище. В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа Коррелятор.

 

image.png

 

 

image.png

image.png

image.png

 

 

 

  

 

7.       На завершающем шаге мастера нажмите на кнопку Создать и сохранить сервис. После чего появится строка установки сервиса, которую необходимо скопировать для дальнейшей установки.

 

image.png

 

 

8.      Нажмите Сохранить.

 

9.      После выполнения вышеуказанных действий в разделе Ресурсы → Активные сервисы появится созданный сервис коллектора.

image.png

  

Установка коллектора KUMA

1.        Выполните подключение к CLI сервера коллектора KUMA.

2.      Для установки сервиса коллектора в командной строке выполните команду под учетной записью root, скопированную на прошлом шаге.

 

image.png

 

 3.      При необходимости добавьте используемый порт сервиса коллектора в исключения МЭ ОС и обновите параметры службы.

# Пример для firewalld

firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp|udp –permanent

firewall-cmd –reload

 

# Пример для ufw

ufw allow <порт, выбранный для коллектора>/tcp|udp

ufw reload

 

 4.       После успешной установки сервиса его статус в веб-консоли KUMA изменится на ВКЛ с зеленой индикацией.

 image.png

Настройка передачи событий KSC в формате CEF

Чтобы настроить передачу событий от Сервера администрирования Kaspersky Security Center в SIEM-систему KUMA:

1. В дереве консоли Kaspersky Security Center выберитеWeb узел Сервер администрированияConsole.

2.1.        В рабочейпанели областислева узлаперейдите выберитев вкладкусвойства сервера администрирования СобытияKSC.

3. Перейдите по ссылке Настроить параметры уведомлений и экспорта событий и в раскрывающемся списке выберите Настроить экспорт в SIEM-систему.

Откроется окно Свойства: События.

image.pngimage.png

4.2.      УстановитеВо флажоквкладке Общие перейдите в раздел Экспорт в SIEM-систему.

3.        В разделе Экспорт в SIEM-систему установите флаг Автоматически экспортировать события в базу SIEM-SIEM-системы.

5.4.      ВНажмите раскрывающемся списке SIEM-система выберитена ArcSight (CEF-формат)Параметры.image.png

6.5.      УкажитеВ адреспоявившемся окне Параметры экспорта укажите:

·         Адрес сервера SIEM-системы - <IP-адрес сервера коллектора/сервера KUMA и порт для подключения к серверу (в соответствующихслучае полях.All-in-One)>

По·         кнопкеПорт SIEM-системы - <Порт ранее созданного сервиса коллектора. В нашем примере 5153>

Экспортировать·         архивПротокол – Kaspersky<Транспортный Securityпротокол CenterTCP экспортируетили UDP. В нашем примере TCP>

·         Формат данных – ArcSight (CEF)

·         Нажмите ОК.

6.       Опционально:  Установите дату начала экспорта событий, начиная с которой уже созданные события будут экспортироваться в базу SIEM-системы KUMA с указанной даты.. По умолчанию Kaspersky Security Center экспортирует события с текущей даты.

7. Нажмите на кнопку ОК.

Настройка коллектора KUMA

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Коллекторы.image.png

2. В списке коллекторов найдите коллектор с нормализатором [OOTB] KSC и откройте его для редактирования.

Что делать, если ресурс не доступен для редактирования

Начиная с версии KUMA 2.1 OOTB ресурсы недоступны для редактирования. В таком случае необходимо скопировать OOTB-ресурс и произвести редактирование в копии этого ресурса.

Важно!7.      ПриНажмите копировании OOTB ресурса, копируется и становится доступным для редактирования только сам ресурс. Связанные ресурсы нужно копировать и привязывать отдельно.Сохранить.

Автоматический экспорт событий KSC включен.

3. На

шаге

Консоль администрирования ТранспортKaspersky вSecurity полеCenter

URL

1.        укажитеВ порт,дереве по которому коллектор будет получать событияконсоли Kaspersky Security Center.Center выберите узел с именем Сервера администрирования, события которого необходимо экспортировать.

4.2.      ПортВ долженрабочей совпадатьобласти выбранного Сервера администрирования перейдите на вкладку События.

·         даты.

·         Нажмите Применить и далее ОК.

image.png

Автоматический экспорт событий KSC включен.

Проверка поступления событий KSC в KUMA

1.        Для проверки, что сбор событий с портом сервера SIEM-системы KUMA, указаннымKSC в настройкахформате наCEF сторонеуспешно KSC.настроен перейдите в Ресурсы → Активные сервисы → выберите ранее созданный коллектор для KSC и нажмите Перейти к событиям.

5. Наimage.png

шаге

Парсинг

2.      В открывшемся окне События убедитесь, что присутствуют события KSC.

image.png

Статья онлайн-справки «Настройка получения событий проверьте,Kaspersky чтоSecurity выбранCenter нормализаторв [OOTB]формате KSC.CEF»:

6. На шаге Маршрутизация https://support.kaspersky.ru/kuma/3.2/241235проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:

    Хранилище. Для отправки обработанных событий в хранилище. Коррелятор. Для отправки обработанных событий в коррелятор.

    Если точки назначения Хранилище и Коррелятор не добавлены, создайте их.

    7. На шаге Проверка параметров нажмите Сохранить и создать сервис.

    8.Статья СкопируйтеKUMA появившуюсяCommunity команду«KSC дляCEF»:

    установки

    https://kb.kuma-community.ru/books/podkliucenie-istocnikov/page/ksc-cef

    коллектора

     KUMA.

    Видео по настройке:

    https://rutube.ru/video/7e876600705999b2ce9f12602c76c9df/?playlist=540937
    Back to top