Настройка тенантов

Kaspersky CyberTrace поддерживает мультитенантную архитектуру, позволяющую управлять тенантами. Тенант — это специфичный для клиента набор параметров конфигурации. Тенанты особенно подходят провайдерам услуг безопасности (MSSP), позволяя дифференцированно работать с клиентами в рамках единого экземпляра Kaspersky CyberTrace.

Из-за ограничений, налагаемых уровнем лицензирования, эта функция может быть отключена.

Kaspersky CyberTrace использует тенант «General», который позволяет задавать общие настройки. Для создания или изменения тенантов в веб-интерфейсе Kaspersky CyberTrace используется раздел Параметры → Тенанты. Для работы с этим разделом необходимо перейти в режим Управление системой. Этот режим доступен только пользователям с ролью «Администратор».

В разделе Тенанты можно просматривать следующие значения EPS (событий в секунду) и IPS (индикаторов в секунду) для тенантов, используемых в Kaspersky CyberTrace:

• Сумма пороговых EPS тенантов
• Пороговый EPS системы
• Средний TCP EPS
• Средний API IPS
• Пороговый TCP EPS

Также доступны следующие действия:

• Добавление нового тенанта
• Переход к настройке тенанта
• Удаление тенанта

Из раздела Тенанты можно перейти в разделы Потоки данных, Источники событий, Служебные оповещения и Обнаружения и задать параметры для тенанта.

При настройке тенанта необходимо также выбрать SIEM-систему, с которой необходимо интегрировать данный тенант. В Kaspersky CyberTrace для каждой SIEM-системы используется ряд предустановленных параметров, таких как параметры парсинга событий и формата событий (для оповещений об обнаружении киберугроз и служебных оповещениях).

Поддерживаются следующие SIEM-системы:

• Kaspersky Unified Monitoring and Analysis Platform
• Splunk
• ArcSight
• QRadar
• RSA NetWitness
• LogRhythm

Добавление тенанта

Чтобы добавить тенант, выполните следующие действия:

1. Нажмите на кнопку Добавить тенант.

   Откроется окно Добавить тенант.

2. Введите имя нового тенанта в поле Имя тенанта.

   Длина имени тенанта должна составлять от 1 до 64 символов. Допускаются латинские буквы, цифры, специальные символы (" ', . @ # $ % & * № / \) и пробелы.

   Изменить имя тенанта «General» невозможно.

3. Введите описание этого тенанта в поле Описание.

   Длина описания тенанта должна составлять от 0 до 2048 символов. Допускаются латинские буквы, цифры, специальные символы (" ', . @ # $ % & * № / \), пробелы и переносы строки.

4. Выберите SIEM-систему, с которой требуется интегрировать тенант.

   Можно выбрать SIEM-систему, поддерживаемую Kaspersky CyberTrace, или пользовательскую (не поддерживаемую SIEM-систему).

   Эта SIEM-система будет использоваться в рамках данного тенанта для отправки событий в Kaspersky CyberTrace.

   В зависимости от выбранной SIEM-системы Kaspersky CyberTrace определяет наборы регулярных выражений, форматы сообщений об обнаруженных киберугрозах и форматы служебных оповещений, используемых при интеграции с этой SIEM-системой.

5. В разделе Пороговый EPS тенанта настройте пороговый EPS тенанта (число событий в секунду — events per second):
   1. Включите переключатель.
   2. В поле Пороговый EPS введите требуемое значение порогового EPS.

   Если значение EPS приближается к пороговому значению, в веб-интерфейсе отображается предупреждение и генерируется оповещение с предупреждением. При превышении лимита в рамках тенанта сверхлимитный трафик для этого тенанта сбрасывается, отображается предупреждение и генерируется оповещение с предупреждением. Если пороговый EPS тенанта не задан, это может повлиять на другие тенанты (если таковые имеются).

6. В разделе Входящие события задайте параметры сокета данного тенанта, который Kaspersky CyberTrace должен прослушивать в ожидании входящих событий:
   1. Выберите тип соединения, который требуется использовать: IP-адрес и порт или Сокет UNIX.
   2. В зависимости от типа подключения выполните одно из следующих действий:
      • Укажите IP-адрес и порт в полях IP-адрес и Порт.
      • В поле Сокет UNIX укажите сокет UNIX.
   3. Если выбран тип соединения IP-адрес и порт, в поле Защищенное соединение выберите тип соединения: TLS или Нет.
7. В блоке Оповещения об обнаружении индикаторов компрометации укажите следующие параметры:
   1. В полях IP-адрес или имя хоста и Порт укажите IP-адрес и порт для конкретного тенанта, которые Kaspersky CyberTrace будет использовать для исходящих оповещений об обнаружении индикаторов компрометации.
   2. В поле Secure connection выберите тип соединения: TLS с проверкой сертификата, TLS без проверки сертификата или Нет.
8. Нажмите на кнопку Сохранить.

Созданный тенант добавляется в список тенантов.

Изменение тенанта

После создания тенанта можно изменять его параметры, в том числе те параметры, которые не были заданы при создании.

Чтобы изменить тенант, выполните следующие действия:

Рядом с тенантом, который требуется изменить, нажмите Настроить, затем выберите соответствующий пункт меню:

• Общие

  На открывшейся странице Параметры → Общие в режиме Управление данными можно настраивать общие параметры тенанта.

• Потоки данных

  На открывшейся странице Параметры → Потоки данных в режиме Управление данными можно изменить список потоков данных, к которым имеет доступ тенант.

• Источники событий

  На открывшейся странице Параметры → Источники событий в режиме Управление данными можно изменить источники события, к которым имеет доступ тенант.

• Служебные оповещения

  На открывшейся странице Параметры → Служебные оповещения в режиме Управление данными можно изменить настройки служебных оповещений, снабжающих другое ПО (например, SIEM-систему) информацией о состоянии тенанта.

• Обнаружения

  На открывшейся странице Параметры → Обнаружения в режиме Управление данными можно изменить настройки хранения оповещений об обнаружениях индикаторов компрометации в целях дальнейшего анализа и расследования.

Удаление тенанта

Удалить тенант «General» невозможно.

Чтобы удалить тенант, выполните следующие действия:

1. В списке тенантов нажмите на кнопку (Удалить) рядом с тенантом, который требуется удалить.
2. В открывшемся окне подтверждения нажмите кнопку Удалить.

Удаленный тенант убирается из списка тенантов.