Установка Kaspersky CyberTrace Service и Feed Utility (сценарий DMZ)

Следующая процедура описывает порядок настройки хоста DMZ и локального хоста для установки Kaspersky CyberTrace Service на одном хосте (в этом разделе называется «локальным») и Feed Utility на другом хосте (в этом разделе называется «DMZ»).

Настройка хоста DMZ

Порядок настройки хоста DMZ:

1. Установите Kaspersky CyberTrace на хосте DMZ для удобства настройки потоков данных, которые предполагается загружать в Kaspersky CyberTrace в изолированной среде.
2. В мастере первоначальной настройки задайте необходимые параметры SIEM (имя, данные подключения).

   Эти настройки будут использоваться для локального хоста.

   Также добавьте сертификат в формате PEM для настройки потоков данных об угрозах «Лаборатории Касперского», которые будут использоваться. Добавлять лицензионный ключ Kaspersky CyberTrace на хост DMZ не требуется, поскольку редакция Community позволяет настраивать все поддерживаемые типы потоков данных об угрозах. Добавление лицензионного ключа на локальном хосте является обязательным.

3. При необходимости добавьте или дополнительно настройте потоки данных об угрозах на странице Параметры → Потоки данных после настройки параметров в мастере первоначальной настройки.

   Убедитесь, что потоки данных об угрозах настроены правильно, для этого запустите обновление потоков данных об угрозах в Kaspersky CyberTrace хотя бы один раз.

4. Экспортируйте параметры из Kaspersky CyberTrace, для этого нажмите кнопку Экспортировать конфигурационный файл на странице Параметры → Служба.

   Если пользовательские потоки данных об угрозах были ранее настроены в Kaspersky CyberTrace, также сохраните файл httpsrv/etc/custom_feed_list.conf для дальнейшего использования.

5. Скопируйте каталог %service_dir%\dmz куда-либо кроме каталога %service_dir% (например, в каталог /opt или /usr/local/etc).

   В дальнейшем путь к этому каталогу будет обозначаться как %dmz_fu%.

6. Удалите Kaspersky CyberTrace.

   Если потребуется добавить новые потоки данных, Kaspersky CyberTrace можно будет снова установить на хосте DMZ.

7. Перенесите разделы Settings → Feeds и Settings → ProxySettings из экспортированного файла kl_feed_util.conf (см. шаг 4) в файл %dmz_fu%/kl_feed_util.conf (если раздел уже присутствует в целевом конфигурационном файле, замените этот раздел новыми данными).

   Не удаляйте экземпляр файла kl_feed_util.conf, экспортированный из Kaspersky CyberTrace, а также файл kl_feed_service.conf. Эти файлы будут использоваться на локальном хосте.

8. Укажите значение accepted в теге Settings → EULA в файле %dmz_fu%/kl_feed_util.conf.
9. Укажите <WorkDir>tmp_download</WorkDir> в разделе Settings/WorkDir файла %dmz_fu%/kl_feed_util.conf.
10. Добавьте %dmz_fu%/cron_dmz.sh в список задач cron.

    Скрипт cron_dmz.sh позволяет загружать потоки данных об угрозах на хост DMZ.

    Например, в конфигурационном файле cron укажите следующую строку:

    */30 * * * * %dmz_fu%/cron_dmz.sh

    В приведенном выше примере скрипт cron_dmz.sh выполняется один раз в 30 минут. Можно задать собственное расписание запуска скрипта.

    Убедитесь, что у пользователя cron есть права на запуск файла %dmz_fu%/cron_dmz.sh.

Настройка локального хоста

Порядок настройки локального хоста:

1. Проверьте доступность узла DMZ для локального узла с помощью утилиты RSync (для этого выполните шаги из раздела «Синхронизация каталогов, содержащих потоки данных об угрозах»).
2. На локальном хосте установите Kaspersky CyberTrace той же версии, что была ранее установлена на хосте DMZ.
3. После установки остановите Kaspersky CyberTrace командой systemctl stop cybertrace.service.
4. Удалите файл %service_dir%/bin/.need_run_wizard.

   Это действие отключает мастер первоначальной настройки, поскольку настройка уже была выполнена на хосте DMZ.

5. Замените файлы %service_dir%/etc/kl_feed_util.conf и %service_dir%/etc/kl_feed_service.conf файлами, полученными на шаге 4 раздела «Настройка хоста DMZ».

   Если пользовательские потоки данных об угрозах ранее были настроены в Kaspersky CyberTrace, замените файл httpsrv/etc/custom_feed_list.conf (или добавьте его, если он отсутствовал).

6. Откройте файл %service_dir%/etc/kl_feed_util.conf и задайте следующие параметры:
   • <NotifyKTFS path="../bin">true</NotifyKTFS>
   • <WorkDir>output</WorkDir>
   • <FeedsDir>../feeds/download</FeedsDir>
7. Выполните следующую настройку в файле %service_dir%/etc/kl_feed_service.conf:
   • Задайте настройки в следующих разделах:
     • Configuration → InputSettings → ConnectionString
     • Configuration → GUISettings → HTTPServer → ConnectionString
     • Configuration → GUISettings → HTTPServer → ResourcesIP
   • Задайте значение 0 в атрибуте update_frequency.

     Эта пользовательская настройка применяется, поскольку файлы потоков данных, загруженные на хост DMZ, будут периодически синхронизироваться с помощью cron, а не Kaspersky CyberTrace.

8. (Рекомендуется) Переименуйте файл %service_dir%/dmz/feeds.pem в feeds.pem.0, чтобы исключить некорректное обновление потоков данных об угрозах при нажатии кнопки (Обновить сейчас).
9. Откройте файл %service_dir%/scripts/cron_cybertrace.sh и задайте следующие параметры:
   • RSYNC_USER (имя пользователя на хоста DMZ для авторизации).
   • RSYNC_HOST (имя хоста/IP-адрес хоста DMZ).
   • PATH_TO_FEEDS (путь к каталогу %dmz_fu%/download на хосте DMZ).
   • DOWNLOAD_DIR ("output").
   • SSH_KEY (убедитесь, что указан тот же путь к файлу ключа RSA, как и на шаге 1 раздела «Синхронизация каталогов, содержащих потоки данных об угрозах»).
10. Добавьте %service_dir%/scripts/cron_cybertrace.sh в список задач cron.

    Скрипт cron_cybertrace.sh запускает синхронизацию файлов потоков данных об угрозах с хоста DMZ. В приведенном ниже примере файл cron_cybertrace.sh запускается один раз в 30 минут, причем запуск осуществляется с пятиминутной задержкой относительно скрипта cron_dmz.sh на узле DMZ:

    5-59/30 * * * * /opt/kaspersky/ktfs/scripts/cron_cybertrace.sh

    Можно задать собственное расписание запуска скрипта.

    Убедитесь, что у пользователя cron есть права на запуск файла %service_dir%/scripts/cron_cybertrace.sh.

11. Запустите Kaspersky CyberTrace.

    Выполните команду systemctl start cybertrace.service.

12. Откройте веб-интерфейс Kaspersky CyberTrace в браузере (введите данные, указанные на шаге 7, в разделе Configuration>GUISettings>HTTPServer>ConnectionString).
13. Убедитесь, что настройки потоков данных об угрозах на странице Параметры → Потоки данных похожи на соответствующие настройки на хосте DMZ.
14. На странице Параметры → Потоки данных задайте значение Никогда для параметра Частота обновления.
15. На странице Параметры → Лицензирование добавьте лицензионный ключ.
16. Настройте прочие параметры, не связанные с обновлением потоков данных об угрозах.