Интеграция с SIEM-системами

Чтобы настроить интеграцию с SIEM-системой:

1. В разделе Администрирование → Интеграции → SIEM-системы нажмите на кнопку Добавить SIEM-систему.
2. В открывшейся боковой панели укажите следующие параметры SIEM-системы:
   1. Название подключаемой SIEM-системы.
   2. Протокол, по которому осуществляется подключение к SIEM-системе. По умолчанию выбрано TCP.
   3. Адрес сервера SIEM-системы в одном из следующих форматов:
      • IPv4.
      • IPv6.
      • FQDN.
   4. Порт, через который осуществляется подключение к SIEM-системе. Значение порта можно указать в диапазоне от 1 до 65535. По умолчанию установлено значение 514.
   5. В блоке параметров Экспортируемые данные с помощью флажков выберите одну или несколько категории событий, сообщения о которых будут экспортироваться в SIEM-систему.

      Для просмотра событий в некоторых категориях (например, Ресурсы, Сканеры и Контроллер доступа) требуется расширенная лицензия.

      По умолчанию выбраны все категории событий, кроме событий экспорта/импорта.

   Объем журнала передаваемых сообщений о событиях в среде выполнения может быть очень большим и может повлиять на имеющееся свободное дисковое пространство и сетевую нагрузку.

3. Если вы хотите проверить корректность введенных параметров интеграции с SIEM-системой, нажмите на кнопку Проверить соединение.

   Решение проверяет соединение с SIEM-системой, если выбран протокол соединения TCP. Если выбран протокол соединения UDP, кнопка Проверить соединение неактивна.

4. Нажмите на кнопку Сохранить.

В таблице ниже представлены категории событий и соответствующие им типы событий в CEF-сообщении.

Категории и типы событий

Подробная информация о типах событий в CEF-сообщениях представлена в Приложении.

Связывание групп агентов с SIEM-системами осуществляется при создании групп агентов или изменении их параметров в разделе Компоненты → Агенты.

Для связывания группы агентов в Kaspersky Container Security необходимо иметь права на управление группами агентов, а также создать и настроить хотя бы одну интеграцию с SIEM-системой.

Решение отображает настроенные интеграции с SIEM-системами в разделе Администрирование → Интеграции → SIEM-системы. Для каждой интеграции представлена следующая информация:

• Название интеграции.
• Адрес сервера SIEM-системы.
• Категории экспортируемых событий.
• Статус последней проверки интеграции: Успешно или Ошибка (с описанием ошибки). Решение обновляет статус при отправке уведомлений.
• Дата и время последней проверки интеграции.

Чтобы изменить параметры интеграции с SIEM-системой:

1. В разделе Администрирование → Интеграции → SIEM-системы нажмите на кнопку Изменить параметры для интересующей вас интеграции.
2. В открывшейся боковой панели при необходимости измените параметры интеграции.
3. Если используется протокол соединения TCP, нажмите на кнопку Проверить соединение, чтобы посмотреть, устанавливается ли соединение с SIEM-системой.
4. Нажмите Сохранить.

Чтобы удалить интеграцию с SIEM-системой:

1. Откройте список настроенных интеграций с SIEM-системами в разделе Администрирование → Интеграции → SIEM-системы.
2. Нажмите на кнопку Удалить интеграцию для интеграции, которую хотите удалить.
3. Подтвердите удаление в открывшемся окне.