Интеграция с SIEM-системами

Чтобы настроить интеграцию с SIEM-системой:

1. В разделе Администрирование → Интеграции → SIEM-системы нажмите на кнопку Добавить SIEM-систему.

   Откроется боковая панель для ввода параметров SIEM-системы.

2. На вкладке Общая информация укажите следующие обязательные параметры:
   • Название подключаемой SIEM-системы.
   • Протокол, по которому осуществляется подключение к SIEM-системе. По умолчанию выбрано TCP.
   • Адрес сервера SIEM-системы в одном из следующих форматов:
     • IPv4.
     • IPv6.
     • FQDN.
   • Порт, через который осуществляется подключение к SIEM-системе. Значение порта можно указать в диапазоне от 1 до 65535. По умолчанию установлено значение 514.
   • Категории событий, сообщения о которых будут экспортироваться в SIEM-систему. Для этого установите флажки рядом с одной или несколькими категориями событий из следующего списка:
     • Администрирование.
     • Алерты.
     • CI/CD.
     • Политики.
     • Ресурсы.
     • Сканеры.
     • Контроллер доступа.
     • События контейнеров.
     • Доступ на основе ролей.
     • API.

     Для просмотра событий в категориях Ресурсы, Сканеры, Контроллер доступа и События контейнеров требуется расширенная лицензия.

     По умолчанию выбраны все категории событий.

     Сообщения о выбранных категориях событий отправляются в указанную SIEM-систему вне зависимости от ее привязки к группам агентов.

3. На вкладке События для групп агентов установите флажки рядом с одним или несколькими типами событий в рамках мониторинга состояния узлов в среде выполнения.

   Объем журнала передаваемых сообщений о событиях в среде выполнения может быть очень большим и может повлиять на имеющееся свободное дисковое пространство и сетевую нагрузку.

4. Если вы хотите проверить корректность введенных параметров интеграции с SIEM-системой, нажмите на кнопку Проверить соединение.

   Решение проверяет соединение с SIEM-системой, если выбран протокол соединения TCP. Если выбран протокол соединения UDP, кнопка Проверить соединение неактивна.

5. Нажмите на кнопку Сохранить.

Связывание групп агентов с SIEM-системами осуществляется при создании групп агентов или изменении их параметров в разделе Компоненты → Агенты.

Для связывания группы агентов в Kaspersky Container Security необходимо иметь права на управление группами агентов, а также создать и настроить хотя бы одну интеграцию с SIEM-системой.

Чтобы просмотреть интеграцию с SIEM-системой:

1. Откройте список интеграций с SIEM-системами в разделе Администрирование → Интеграции → SIEM-системы.
2. Нажмите на название интеграции в списке интеграций.

Чтобы изменить параметры интеграции с SIEM-системой:

1. В разделе Администрирование → Интеграции → SIEM-системы нажмите на название интеграции в списке интеграций.
2. В открывшейся боковой панели при необходимости измените параметры интеграции следующим образом:
   1. На вкладке Общая информация измените следующие обязательные параметры:
      • Название SIEM-системы.
      • Протокол подключения к SIEM-системе.
      • Адрес сервера SIEM-системы.
      • Порт для подключения к SIEM-системе.
      • Категории экспортируемых событий.
   2. На вкладке События для групп агентов при необходимости измените список выбранных типов событий мониторинга сетевых узлов в среде выполнения.
3. Если используется протокол соединения TCP, нажмите на кнопку Проверить соединение, чтобы посмотреть, устанавливается ли соединение с SIEM-системой.
4. Нажмите Сохранить.

Чтобы удалить интеграцию с SIEM-системой:

1. Откройте список настроенных интеграций с SIEM-системами в разделе Администрирование → Интеграции → SIEM-системы.
2. Выберите интеграцию, которую хотите удалить, установив флажок в строке с названием интеграции.
3. Нажмите на кнопку Удалить, которая расположена над таблицей.

   Кнопка Удалить становится активной после выбора одной или нескольких интеграций.

4. Подтвердите удаление в открывшемся окне.