Шаг 4. Проверка работоспособности (ArcSight)

После установки Kaspersky CyberTrace и необходимого программного обеспечения ArcSight можно протестировать их работу.

Прежде чем редактировать какие-либо правила фильтрации в конфигурационном файле Feed Utility, следует обязательно выполнить проверку работоспособности.

Чтобы проверить, правильно ли Kaspersky CyberTrace интегрирован с ArcSight, выполните следующие действия:

1. Настройте Log Scanner для отправки событий в ArcSight SmartConnector.

   Для этого настройте хост и порт ArcSight SmartConnector в элементе Connection конфигурационного файла Log Scanner.

2. Отправьте файл %service_dir%/verification/kl_verification_test_cef.txt в ArcSight SmartConnector.

   Для этого выполните следующую команду (в Linux):

   ./log_scanner -p ../verification/kl_verification_test_cef.txt

   Для этого выполните следующую команду (в Windows):

   log_scanner.exe -p ..\verification\kl_verification_test_cef.txt

   Не указывайте в этой команде флаг -r — отправлять результаты проверки в SIEM-систему с использованием параметров для исходящих событий, указанных в разделе Service настроек Kaspersky CyberTrace.

3. Убедитесь, что полученные результаты проверки соответствуют приведенным ниже.

   С результатами проверки можно ознакомиться в активном канале CyberTrace all matches. Для этого задайте следующий встраиваемый фильтр для поля Source Service Name: Kaspersky Lab|CyberTrace Verification Kit.

Результаты проверки работоспособности

Результаты проверки работоспособности зависят от используемых потоков данных об угрозах. Результаты проверки работоспособности приведены в следующей таблице.

Результаты проверки работоспособности