Экспорт индикаторов в UserGate NGFW

В этой статье описывается порядок интеграции Kaspersky CyberTrace с UserGate NGFW, создания задачи экспорта индикаторов из Kaspersky CyberTrace и добавления индикаторов в UserGate NGFW.

Kaspersky CyberTrace позволяет экспортировать списки индикаторов компрометации (IoC) в сетевые экраны нового поколения (NGFW) UserGate, расширяя возможности по обнаружению и предотвращению киберугроз.

Создание задачи экспорта индикаторов из Kaspersky CyberTrace

В разделе "Экспорт индикаторов" вы можете создать или обновить задачу для предварительно заданных параметров экспорта индикаторов в UserGate NGFW.

Чтобы создать задачу экспорта индикаторов из Kaspersky CyberTrace, выполните следующие действия:

1. В веб-интерфейсе Kaspersky CyberTrace перейдите в режим System management.
2. Перейдите в раздел Настройки → Экспорт индикаторов.
3. В открывшемся окне Экспорт индикаторов нажмите на кнопку Добавить задачу и выберите UserGate NGFW в раскрывающемся списке.
4. В окне Добавить задачу экспорта индикаторов укажите следующие свойства:
   • В поле Имя задачи укажите уникальное имя задачи.
   • В поле Экспортировать каждые укажите частоту запуска задачи.
   • В поле Максимальное количество записей укажите количество экспортируемых индикаторов.

     Рекомендуемое количество индикаторов для одного экспорта (по умолчанию) составляет 50 000.

     Максимальное значение, которое можно указать – 1 000 000.

   • В поле Тип файла укажите тип файла.

     Для UserGate NGFW это version.txt (версия потоков данных) и list.zip с list.txt (архив с индикаторами).

   • В поле Тип индикатора укажите тип индикатора.

     Доступные типы индикаторов: IP-адрес, URL, домен.

5. В разделах Правила фильтрации и поля для экспорта и Условия сортировки настройте фильтрацию и сортировку индикаторов.
6. Настройте ограничения доступа к файлу экспорта индикаторов.

   Для этого включите переключатель Использовать авторизацию для загрузки отчета об экспорте индикаторов и укажите имя пользователя и пароль.

7. Нажмите на кнопку Next.
8. В открывшемся окне Предварительный просмотр экспорта просмотрите файл экспорта.
9. Нажмите на кнопку Add.

Задача будет создана.

В окне экспорта индикаторов будет отображаться столбец с типом задачи экспорта. Если для задачи имеются предустановленные параметры, в столбце будет указано название NGFW.

Предварительно установленная задача экспорта будет отображена в разделе Задачи в режиме Управление системой.

В окне экспорта индикаторов отображается ссылка на скачивание файла для предварительно установленной задачи экспорта.

В окне Экспорт индикаторов отображается неполная ссылка (только для чтения) на каталог с файлами version.txt и list.zip. Чтобы скачать файл, вам нужно добавить в эту ссылку имена файлов: version.txt или list.zip. Если вы используете ссылку в UserGate, менять ее не требуется.

Добавление индикаторов в UserGate NGFW

После экспорта индикаторов из Kaspersky CyberTrace файл с экспортированными индикаторами становится доступным для скачивания по следующему адресу:

https://<CyberTrace_WebAddress>/ioc_exports/<iocexport_name>

где <iocexport_name> – имя вашей задачи экспорта.

Чтобы добавить индикаторы в UserGate NGFW,

укажите приведенный выше URL файла с экспортированными индикаторами в окне Списки URL интерфейса UserGate NGFW.

Сетевые экраны UserGate не поддерживают аутентификацию при импорте списков IoC из внешних ресурсов и не работают с использованием протокола HTTPS. Интеграция с Kaspersky CyberTrace возможна только через промежуточный обратный прокси.

Подробную информацию о добавлении индикаторов см. в аналогичном руководстве по добавлению потоков данных Kaspersky Network Security в UserGate NGFW.